JP6653368B2

JP6653368B2 - Authentication server, authentication system and program

Info

Publication number: JP6653368B2
Application number: JP2018230779A
Authority: JP
Inventors: 一宏小椋; 健彦小玉; 啓祐府川; 雅好鏡
Original assignee: Hennge KK
Current assignee: Hennge KK
Priority date: 2018-12-10
Filing date: 2018-12-10
Publication date: 2020-02-26
Anticipated expiration: 2033-05-15
Also published as: JP2019075140A

Description

本発明は、認証サーバ、認証システム及びプログラムに関する。 The present invention relates to an authentication server, an authentication system, and a program.

従来から、ユーザＩＤとパスワードとに基づき、ユーザを認証する認証サーバが存在する。また、近年は、クラウドコンピューティングと呼ばれるシステムによって、インターネットを介してユーザが何処からでもアクセスできるようになり、ユーザの利便性を図れるようになってきている。 Conventionally, there is an authentication server that authenticates a user based on a user ID and a password. In recent years, a system called cloud computing has made it possible for a user to access from anywhere via the Internet, thereby improving user convenience.

また、従来技術として、端末がサーバから回線識別情報を取得し、回線識別情報が端末側で予め記憶されている場合に決済処理を行うものが存在する（特許文献１の図１、０００９段落参照）。 Further, as a conventional technique, there is one in which a terminal acquires line identification information from a server and performs a settlement process when the line identification information is stored in the terminal in advance (see FIG. 1, paragraph 0009 of Patent Document 1). ).

特開２００６−２６１９９１号公報JP 2006-261991 A

従来は、端末から入力されたユーザＩＤとパスワードとをイントラネットを介して認証サーバに送信することが多く、閉域化されたネットワーク上ではセキュリティ面で安全が確保される状況下にあった。 Conventionally, a user ID and a password input from a terminal are often transmitted to an authentication server via an intranet, so that security is secured on a closed network.

一方、クラウドコンピューティングでは、広域化されたネットワークであるので、端末から入力されたユーザＩＤとパスワードとがインターネットを介して認証サーバに送信することになり、イントラネットでの認証システムに比べて、盗聴やなりすまし等のセキュリティ上の問題が生じる可能性が高い。 On the other hand, in cloud computing, since a wide area network is used, a user ID and a password input from a terminal are transmitted to an authentication server via the Internet. There is a high possibility that security problems such as spoofing will occur.

最近では組織内のネットワークからだけではなく、組織外の特定の端末等から組織のシステムにアクセスする需要が高まっており、かかる場合のセキュリティの確保と運用・管理の容易性の両立が問題となっている。 In recent years, there has been an increasing demand for access to organizational systems not only from within the organization's network but also from specific terminals outside the organization, and in such cases, it has become a problem to ensure security and at the same time, ease of operation and management. ing.

本発明は、上述した課題に鑑みたものであり、クラウドコンピューティングにおけるユーザの利便性が高く、セキュリティが高い認証を行うことが可能な認証サーバ、認証システム及びプログラムを提供することにある。 SUMMARY An advantage of some aspects of the invention is to provide an authentication server, an authentication system, and a program that can perform highly secure authentication with high user convenience in cloud computing.

（１）本発明は、
第１の端末と、第２の端末と、ネットワークを介して接続される認証サーバであって、
前記第１の端末から画像コード送信要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤとパスワードの正当性に関する第１の条件、及び前記第１の端末の送信元のアドレス情報の正当性に関する第２の条件を判断し、前記第１の条件及び前記第２の条件を満たしている場合に認証情報を生成し、当該認証情報を画像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する画像コード情報送信処理手段と、
前記第２の端末から認証用端末識別情報の登録要求を受信すると、前記登録要求とともに受信したユーザＩＤとパスワードの正当性に関する第１の条件、及び前記登録要求とと
もに受信した認証用の画像コードの情報の正当性に関する第３の条件を判断し、前記第１の条件及び前記第３の条件を満たしている場合に、登録要件を満たしていると判断し、前記第２の端末から受信した認証用端末識別情報を認証データベースに登録する処理を行う登録処理手段と、
前記第２の端末から所与の処理要求を受信すると、前記所与の処理要求とともに受信したユーザIＤとパスワードの正当性に関する第１の条件、及び前記処理要求とともに受信
した認証用端末識別情報の正当性に関する第４の条件、及び前記処理要求とともに受信した認証用の画像コードの情報の正当性に関する第３の条件を判断し、前記第１の条件、前記第４の条件、及び前記第３の条件を満たしている場合に、処理要件を満たしていると判断し、前記所与の処理要求を許可する認証処理手段と、を含む認証サーバに関する。 (1) The present invention
An authentication server connected to a first terminal, a second terminal, and a network,
Upon receiving an image code transmission request from the first terminal, a first condition relating to the validity of the user ID and the password received together with the image code transmission request, and the validity of the address information of the transmission source of the first terminal Determining a second condition relating to the first condition, generating authentication information when the first condition and the second condition are satisfied, and transmitting image code information for displaying the authentication information as an image code; Image code information transmission processing means for transmitting to the requesting first terminal;
Upon receiving the registration request for the terminal identification information for authentication from the second terminal, the first condition relating to the validity of the user ID and the password received together with the registration request, and the image code for authentication received together with the registration request Determining a third condition relating to the validity of the information, determining that the registration requirement is satisfied when the first condition and the third condition are satisfied, and determining the authentication received from the second terminal; Registration processing means for performing a process of registering the terminal identification information for use in the authentication database,
Upon receiving a given processing request from the second terminal, the first condition relating to the validity of the user ID and the password received together with the given processing request, and the authentication terminal identification information received together with the processing request. A fourth condition relating to the validity and a third condition relating to the validity of the information of the image code for authentication received together with the processing request are determined, and the first condition, the fourth condition, and the third condition are determined. When the condition is satisfied, it is determined that the processing requirement is satisfied, and the authentication processing means for permitting the given processing request is provided.

また、本発明は、コンピュータにより読み取り可能であって、上記各手段としてコンピュータを機能させるプログラムに関する。 Further, the present invention relates to a program readable by a computer and causing the computer to function as each of the above means.

また本発明は、
第１の端末と、第２の端末と、認証サーバとを利用した認証システムであって、
前記第１の端末は、
受け付けたユーザＩＤとパスワードとともに前記認証サーバに画像コード送信要求を送信する画像コード送信要求手段と、
前記画像コード送信要求に対応して前記認証サーバが送信した画像コード情報を受信して、当該画像コード情報に基づき画像コードを表示部に表示する画像コード表示処理手段と、を含み、
前記第２の端末は、
前記画像コードを撮影する撮影手段と、
撮影された前記画像コード又は当該画像コードを解読して取得した認証情報の少なくとも一部を含む認証用の画像コードの情報と、自機の認証用端末識別情報と、受け付けたユーザＩＤとパスワードとともに、前記認証用端末識別情報の登録要求を前記認証サーバに送信する登録要求手段と、を含み、
前記認証サーバは、
前記第１の端末から前記画像コード送信要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤとパスワードの正当性に関する第１の条件、及び前記第１の端末の送信元のアドレス情報の正当性に関する第２の条件を判断し、前記第１の条件及び前記第２の条件を満たしている場合に認証情報を生成し、当該認証情報を画像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する画像コード情報送信処理手段と、
前記第２の端末から前記登録要求を受信すると、前記登録要求とともに受信したユーザＩＤとパスワードの正当性に関する第１の条件、及び前記登録要求とともに受信した認証用の画像コードの情報の正当性に関する第３の条件を判断し、前記第１の条件及び前記第３の条件を満たしている場合に、登録要件を満たしていると判断し、前記第２の端末から受信した認証用端末識別情報を認証データベースに登録する登録処理手段と、
前記第２の端末から所与の処理要求を受信すると、前記所与の処理要求とともに受信したユーザIＤとパスワードの正当性に関する第１の条件、及び前記処理要求とともに受信
した認証用端末識別情報の正当性に関する第４の条件、及び前記処理要求とともに受信した認証用の画像コードの情報の正当性に関する第３の条件を判断し、前記第１の条件、前記第４の条件、及び前記第３の条件を満たしている場合に、処理要件を満たしていると判断し、前記所与の処理要求を許可する認証処理手段と、を含む認証システムに関する。 The present invention also provides
An authentication system using a first terminal, a second terminal, and an authentication server,
The first terminal comprises:
Image code transmission requesting means for transmitting an image code transmission request to the authentication server together with the accepted user ID and password;
Image code display processing means for receiving image code information transmitted by the authentication server in response to the image code transmission request, and displaying an image code on a display unit based on the image code information,
The second terminal,
Photographing means for photographing the image code;
The information of the image code for authentication including at least a part of the captured image code or the authentication information obtained by decoding the image code, the terminal identification information for authentication of the own device, and the received user ID and password together with Registration request means for transmitting a registration request for the authentication terminal identification information to the authentication server,
The authentication server,
Upon receiving the image code transmission request from the first terminal, the first condition relating to the validity of the user ID and the password received together with the image code transmission request and the validity of the address information of the transmission source of the first terminal Determining a second condition relating to sex, generating authentication information when the first condition and the second condition are satisfied, and displaying image code information for displaying the authentication information as an image code. Image code information transmission processing means for transmitting to the transmission requesting first terminal;
Upon receiving the registration request from the second terminal, the first condition relating to the validity of the user ID and the password received together with the registration request and the validity of the information of the authentication image code received together with the registration request The third condition is determined, and when the first condition and the third condition are satisfied, it is determined that the registration requirement is satisfied, and the authentication terminal identification information received from the second terminal is determined. Registration processing means for registering in the authentication database;
Upon receiving a given processing request from the second terminal, the first condition relating to the validity of the user ID and the password received together with the given processing request, and the authentication terminal identification information received together with the processing request. A fourth condition relating to the validity and a third condition relating to the validity of the information of the image code for authentication received together with the processing request are determined, and the first condition, the fourth condition, and the third condition are determined. If the condition is satisfied, it is determined that the processing requirement is satisfied, and the authentication processing means for permitting the given processing request.

第２の端末が送信する認証用の画像コードの情報、及び認証サーバが第３の条件を判定する際の画像コードの情報は、画像コードの画像データそのものでもよいし、画像コードに含まれる認証情報又はその一部でもよい。 The information on the image code for authentication transmitted by the second terminal and the information on the image code when the authentication server determines the third condition may be the image data itself of the image code or the authentication included in the image code. It may be information or a part thereof.

認証情報を画像コードとして表示させるための画像コード情報は、画像コードの画像情報そのものでもよいし、画像コードを第１の端末に表示させるための情報（例えば認証情報と画像コード生成コマンド等）でもよい。 The image code information for displaying the authentication information as the image code may be the image information itself of the image code, or the information for displaying the image code on the first terminal (for example, the authentication information and the image code generation command). Good.

第２の端末とその認証用端末識別情報の登録を行ったユーザの紐づけを行わない場合には、前記認証用端末識別情報は、ユーザＩＤと関連付けずに認証データベースに登録してもよい。また第２の端末とその認証用端末識別情報の登録を行ったユーザの紐づけを行う場合には、前記第２の端末から受信した前記認証用端末識別情報を、ユーザＩＤと関連付けて認証データベースに登録してもよい。 When the second terminal is not associated with the user who has registered the authentication terminal identification information, the authentication terminal identification information may be registered in the authentication database without being associated with the user ID. Further, when associating the second terminal with the user who has registered the authentication terminal identification information, the authentication terminal identification information received from the second terminal is associated with a user ID and stored in an authentication database. May be registered.

ユーザＩＤとパスワードの正当性は、予め認証データベースに登録されているユーザＩＤとパスワードと一致するか否かで判断してもよい。 The validity of the user ID and the password may be determined based on whether the user ID and the password registered in the authentication database match with each other.

認証情報には、例えば認証用の鍵情報やユーザ特定情報や電子認証情報等を含んでも良い。またユーザＩＤ、第２の端末からアクセスを許可するドメイン名やURLのリスト、電子認証情報作成日時、失効日時を含めてもよい。 The authentication information may include, for example, authentication key information, user identification information, electronic authentication information, and the like. Also, a user ID, a list of domain names and URLs permitted to be accessed from the second terminal, electronic authentication information creation date and time, and invalidation date and time may be included.

前記第１の端末の送信元のアドレス情報の正当性に関する第２の条件は、前記第１の端末の送信元のアドレス情報が、所定のアドレス（例えば所定の組織のネットワークのアドレス）であるか否かで判断してもよい。前記第１の端末の送信元のアドレス情報とは、例えば、組織のネットワークのゲートウェイのＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｃｏｌ）アドレスである。 The second condition regarding the validity of the address information of the transmission source of the first terminal is that the address information of the transmission source of the first terminal is a predetermined address (for example, a network address of a predetermined organization). It may be determined based on whether or not. The source address information of the first terminal is, for example, an IP (Internet Protocol) address of a gateway of an organization network.

第２の端末の所与の処理要求とは、例えばファイルやメールの閲覧要求等である。前記処理要求とともに受信した認証用端末識別情報の正当性に関する第４の条件は、前記第２の端末から受信した認証用端末識別情報が、認証データベースに登録されている認証用端末識別情報と一致するか否かで判断してもよい。 The given processing request of the second terminal is, for example, a file or mail browsing request. The fourth condition regarding the validity of the authentication terminal identification information received together with the processing request is that the authentication terminal identification information received from the second terminal matches the authentication terminal identification information registered in the authentication database. It may be determined based on whether or not to perform.

第２の端末は携帯端末でもよい。第２の端末には、専用のＷｅｂブラウザアプリケーションをインストールして、専用のＷｅｂブラウザアプリケーションがメールの閲覧制限やダウンロード制限や閲覧後の情報の削除等をおこなうようにしてもよい。また専用のＷｅｂブラウザアプリケーションが認証用端末識別情報を生成、保管、及び画像コードのデコード、認証用端末識別情報の登録要求等を行うようにしてもよい。 The second terminal may be a mobile terminal. A dedicated Web browser application may be installed in the second terminal, and the dedicated Web browser application may perform restrictions on browsing and download of mail, deletion of information after browsing, and the like. Alternatively, a dedicated Web browser application may generate and store authentication terminal identification information, decode an image code, and request registration of authentication terminal identification information.

また登録処理手段は、前記第２の端末から前記登録要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤが予め記憶された登録条件（認証用端末識別情報の登録を許可するユーザＩＤの情報や、登録許可を受け付ける期間の情報等）と一致するか否か等の条件を満たしている場合に、登録要件を満たしていると判断してもよい。 Further, upon receiving the registration request from the second terminal, the registration processing means stores the user ID received with the image code transmission request in a pre-stored registration condition (a user ID for permitting registration of the authentication terminal identification information). Information or information on a period during which registration permission is accepted), it may be determined that the registration requirement is satisfied.

また登録処理手段は、前記第２の端末から前記登録要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤについて、他の端末や他のサーバに承認要求を行い（例えば管理者端末に承認要求を出す）、承認が許可されることを条件に登録要件を満たしていると判断してもよい。 Further, upon receiving the registration request from the second terminal, the registration processing means issues an approval request to another terminal or another server with respect to the user ID received together with the image code transmission request (for example, an approval to the administrator terminal). Request), and it may be determined that the registration requirements are satisfied on condition that approval is granted.

本発明によれば、端末アドレス情報が保障された第１の端末（例えば組織のネットワークに接続された端末）にアクセスできるユーザしか取得することできない画像コード情報を用いて、第２の端末の認証用端末識別情報を認証サーバに登録することができる。したがって、簡単なユーザインターフェースで、組織外のネットワークからのアクセスを許可する特定された端末の正当性を確保することができるので、クラウドコンピューティング
におけるユーザの利便性が高くセキュリティが高い認証を行うことが可能となる。 According to the present invention, authentication of a second terminal is performed using image code information that can be obtained only by a user who can access a first terminal (for example, a terminal connected to an organization network) in which terminal address information is guaranteed. Terminal identification information can be registered in the authentication server. Therefore, with a simple user interface, it is possible to ensure the legitimacy of the specified terminal that is permitted to access from the network outside the organization, and to perform user-friendly and highly secure authentication in cloud computing. Becomes possible.

（２）また、本発明の認証サーバ、認証システム及びプログラムにおいて、
前記画像コード情報送信処理手段は、
前記画像コード送信要求に対応して第１の鍵情報を含む認証情報を生成し、認証情報に基づき前記画像コード情報を生成するとともに、前記第１の鍵情報を送信済み第１の鍵情報として記憶部に保管し、
前記登録処理手段は、
前記登録要求とともに受信した認証用の画像コードの情報に含まれる前記第１の鍵情報が前記送信済み第１の鍵情報と一致するか否か判断し、一致するものであることを条件に、前記第３の条件を満たしていると判断し、
前記認証処理手段は、
前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれる前記第１の鍵情報が前記送信済み第１の鍵情報と一致するか否か判断し、一致するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 (2) In the authentication server, the authentication system and the program of the present invention,
The image code information transmission processing means,
Generating authentication information including first key information in response to the image code transmission request, generating the image code information based on the authentication information, and using the first key information as transmitted first key information. Store in storage,
The registration processing means,
It is determined whether or not the first key information included in the information of the authentication image code received with the registration request matches the transmitted first key information. Determining that the third condition is satisfied,
The authentication processing means,
It is determined whether or not the first key information included in the information of the authentication image code received with the given processing request matches the transmitted first key information. The condition may be determined to satisfy the third condition.

第１の鍵とは共通鍵暗号方式で用いる共通鍵でもよい。 The first key may be a common key used in a common key cryptosystem.

また前記認証サーバは、画像コード送信要求毎に異なる第１の鍵を生成してもよい。 The authentication server may generate a different first key for each image code transmission request.

また認証サーバは、送信した第１の鍵を画像コード送信要求を行ったユーザＩＤと関連付けて保管し、同じユーザＩＤで登録要求が行われた場合に、認証用端末識別情報を登録するようにしてもよい。 Also, the authentication server stores the transmitted first key in association with the user ID that made the image code transmission request, and registers the authentication terminal identification information when the registration request is made with the same user ID. You may.

また認証サーバは、１つの画像コードに対応して登録可能な認証用端末識別情報を１つに限定してもよい。この場合、第１の鍵について最先に登録要求を行った認証用端末識別情報を登録するようにしてもよい。 The authentication server may limit the number of authentication terminal identification information that can be registered in correspondence with one image code to one. In this case, the authentication terminal identification information for which the registration request was issued first for the first key may be registered.

また認証サーバは１つの画像コードに対応して複数の認証用端末識別情報を登録できるようにしてもよい。 The authentication server may be configured to register a plurality of authentication terminal identification information corresponding to one image code.

このようにすると認証サーバが生成した第１の鍵情報に対応した認証情報を含む画像コードを取得したユーザのうち、第２の端末の認証用端末識別情報の登録を行うことができるユーザを制限したり、登録できる端末数を制限したりすることができる。 With this configuration, of the users who have acquired the image code including the authentication information corresponding to the first key information generated by the authentication server, the users who can register the terminal identification information for authentication of the second terminal are restricted. And the number of terminals that can be registered can be limited.

（３）また、本発明の認証サーバ、認証システム及びプログラムにおいて、
前記画像コード情報送信処理手段は、
前記画像コード送信要求とともに受信したユーザＩＤに対応したユーザ特定情報を含む認証情報を生成し、
前記登録処理手段は、
前記登録要求とともに受信した認証用の画像コードの情報に含まれるユーザ特定情報が、受信したユーザＩＤに対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断し、
前記認証処理手段は、
前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれるユーザ特定情報が、受信したユーザＩＤに対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 (3) In the authentication server, the authentication system and the program of the present invention,
The image code information transmission processing means,
Generating authentication information including user identification information corresponding to the user ID received with the image code transmission request;
The registration processing means,
It is determined whether or not the user identification information included in the authentication image code information received together with the registration request corresponds to the received user ID. Is determined to meet the conditions of
The authentication processing means,
It is determined whether or not the user identification information included in the information of the authentication image code received together with the given processing request corresponds to the received user ID. It may be determined that the third condition is satisfied.

このようにすると、第１の端末でログインを行ったユーザに対して当該ユーザ特定情報が指定された画像コードが送信され、当該ユーザが当該画像コードを用いて登録要求を行
った場合のみ第２の端末の認証用端末識別情報の登録を受け付けることができる。したがって、他人の画像コードを取得しても登録は受け付けられないので、第２の端末の登録を行うユーザを厳密に管理することができ、認証用端末識別情報の登録のセキュリティを強化することができる。 With this configuration, the image code in which the user identification information is specified is transmitted to the user who has logged in at the first terminal, and the second code is transmitted only when the user makes a registration request using the image code. Registration of the terminal identification information for authentication of the terminal can be accepted. Therefore, since registration is not accepted even if an image code of another person is acquired, the user who registers the second terminal can be strictly managed, and the security of registration of the authentication terminal identification information can be enhanced. it can.

（４）また、本発明の認証サーバ、認証システム及びプログラムにおいて、
前記画像コード情報送信処理手段は、
前記認証サーバに対応付けられた第２の鍵に基づく電子認証情報を含む認証情報を生成し、
前記登録処理手段は、
前記登録要求とともに受信した認証用の画像コードの情報に含まれる第２の鍵に基づく電子認証情報が、前記認証サーバに対応付けられた第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断し、
前記認証処理手段は、
前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれる第２の鍵に基づく電子認証情報が、前記認証サーバに対応付けられた第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 (4) In the authentication server, the authentication system and the program of the present invention,
The image code information transmission processing means,
Generating authentication information including electronic authentication information based on a second key associated with the authentication server;
The registration processing means,
It is determined whether the electronic authentication information based on the second key included in the authentication image code information received with the registration request corresponds to the second key associated with the authentication server. It is determined that the third condition is satisfied, provided that they correspond to each other.
The authentication processing means,
Whether the electronic authentication information based on the second key included in the information of the authentication image code received together with the given processing request corresponds to the second key associated with the authentication server And it may be determined that the third condition is satisfied, provided that it is a corresponding one.

前記画像コード情報送信処理手段は、
前記認証サーバに対応付けられた第２の鍵（公開鍵暗号方式の秘密鍵）を用いて電子認証情報を作成してもよい。電子認証情報には、ユーザＩＤ、第２の端末からアクセスを許可するドメイン名やＵＲＬのリスト、電子認証情報作成日時、失効日時を含めてもよい。 The image code information transmission processing means,
Electronic authentication information may be created using a second key (a secret key of a public key cryptosystem) associated with the authentication server. The electronic authentication information may include a user ID, a list of domain names and URLs permitted to be accessed from the second terminal, electronic authentication information creation date and time, and expiration date and time.

第２の鍵に基づく電子認証情報を含む認証情報に基づき作成した画像コード情報が偽造された場合は、偽造されていることを検知することができるため、偽造が困難である。従って、端末アドレス情報が保障された第１の端末から画像コードを取得する以外の方法で認証情報や画像コード情報を取得することは困難であり、認証用端末識別情報の登録のセキュリティを強化することができる。 When the image code information created based on the authentication information including the electronic authentication information based on the second key is forged, it is difficult to forge because it is possible to detect the forgery. Therefore, it is difficult to obtain the authentication information and the image code information by a method other than obtaining the image code from the first terminal whose terminal address information is guaranteed, and the security of the registration of the authentication terminal identification information is enhanced. be able to.

第１の実施形態のネットワーク図の一例。FIG. 2 is an example of a network diagram according to the first embodiment. 第１の実施形態の機能ブロック図の一例。FIG. 2 is an example of a functional block diagram according to the first embodiment. 図３（Ａ）（Ｂ）（Ｃ）は、データベースに格納されるデータの説明図。3A, 3B, and 3C are explanatory diagrams of data stored in a database. 図４（Ａ）（Ｂ）は、アクセス成功・失敗フローのフローチャート図。FIGS. 4A and 4B are flowcharts of access success / failure flows. 図５は、ＯＴＰ確認フロー、証明情報確認フローのフローチャート図。FIG. 5 is a flowchart of an OTP confirmation flow and a certification information confirmation flow. 図６（Ａ）（Ｂ）は、証明情報付与フローのフローチャート図。FIGS. 6A and 6B are flowcharts of a proof information adding flow. 第１の実施形態の処理の流れを示すフローチャート図。FIG. 3 is a flowchart illustrating the flow of a process according to the first embodiment. 第１の実施形態の処理の流れを示すフローチャート図。FIG. 3 is a flowchart illustrating the flow of a process according to the first embodiment. 第２の実施形態のネットワーク図の一例。FIG. 10 is an example of a network diagram according to the second embodiment. 第２の実施形態の機能ブロック図の一例An example of a functional block diagram of the second embodiment 図１０（Ａ）（Ｂ）は、データベースに格納されるデータの説明図FIGS. 10A and 10B are explanatory diagrams of data stored in a database. データベースに格納されるデータの説明図。FIG. 4 is an explanatory diagram of data stored in a database. 第２の実施形態の認証システムの処理の流れを示すフローチャート図。FIG. 13 is a flowchart illustrating the flow of processing of the authentication system according to the second embodiment. 第２の実施形態の認証サーバの画像コード送信処理の流れを示すフローチャート図。FIG. 11 is a flowchart illustrating a flow of an image code transmission process of the authentication server according to the second embodiment. 第２の実施形態の認証サーバの認証用端末識別情報の登録処理の流れを示すフローチャート図。FIG. 13 is a flowchart illustrating a flow of a process of registering authentication terminal identification information of the authentication server according to the second embodiment. 第２の実施形態の認証サーバの認証処理の流れを示すフローチャート図。FIG. 13 is a flowchart illustrating the flow of an authentication process of the authentication server according to the second embodiment.

以下、本実施形態について説明する。なお、以下に説明する本実施形態は、特許請求の範囲に記載された本発明の内容を不当に限定するものではない。また本実施形態で説明される構成の全てが、本発明の必須構成要件であるとは限らない。 Hereinafter, the present embodiment will be described. The present embodiment described below does not unduly limit the contents of the present invention described in the claims. Further, all of the configurations described in the present embodiment are not necessarily essential components of the invention.

１．第１の実施形態
１−１．ネットワーク
図１は、第１の実施形態のネットワーク図の一例である。第１の本実施形態の認証サーバ１０（ＩＤプロバイダ）は、ユーザの端末２０から送信される情報（データ）に基づいて、ユーザの認証を行う。 1. First embodiment 1-1. 1. Network FIG. 1 is an example of a network diagram according to the first embodiment. The authentication server 10 (ID provider) of the first embodiment authenticates a user based on information (data) transmitted from the user terminal 20.

認証サーバ１０は、ネットワークを介して、複数の端末２０と接続される。例えば、第１の実施形態の認証サーバ１０は、インターネットを介して、会社や学校などの小規模ネットワーク３０を構成する各端末２０−Ａ〜２０−Ｅと接続されている。また、認証サーバ１０は、インターネットを介して、ｕｓｅｒＡの自宅４１の端末２０−Ｆ、ｕｓｅｒＢが会社から持ち帰った端末２０−Ｂ、ｕｓｅｒＣの自宅４３の端末２０−Ｇ、ｕｓｅｒＤの携帯用の端末２０−Ｈ（例えば、スマートフォン）と接続可能である。なお、第１の実施形態の端末２０は有線又は無線によって認証サーバ１０と接続される。 The authentication server 10 is connected to a plurality of terminals 20 via a network. For example, the authentication server 10 of the first embodiment is connected to the terminals 20-A to 20-E constituting a small-scale network 30 such as a company or a school via the Internet. In addition, the authentication server 10 is connected to the terminal 20-F of the home 41 of userA, the terminal 20-B brought back by the user B from the company, the terminal 20-G of the home 43 of userC, and the portable terminal 20 of userD via the Internet. -H (for example, a smartphone) is connectable. Note that the terminal 20 of the first embodiment is connected to the authentication server 10 by wire or wirelessly.

また、認証サーバ１０は、ユーザＩＤ、パスワード等の情報が格納された認証データベース１１とネットワーク（イントラネット又はインターネット）を介して接続されている。認証サーバ１０は、認証データベース１１に登録されているデータを参照する処理を行う。また、認証サーバ１０は、認証データベース１１に対して新たなデータの登録や、データの削除、データの変更の命令を行うことができる。 The authentication server 10 is connected to an authentication database 11 storing information such as a user ID and a password via a network (an intranet or the Internet). The authentication server 10 performs a process of referring to data registered in the authentication database 11. Further, the authentication server 10 can register new data, delete data, and change data in the authentication database 11.

また、認証サーバ１０は、ネットワークを介してメールサーバ３１、ファイルサーバ３２、ショッピングサーバ３３、写真サーバ３４などの種々のサーバ（サービス提供サーバ）と接続されている。例えば、メールサーバ３１は、認証サーバ１０が認証を許可したユーザＩＤに関するメールサービスの提供を行う。また、ファイルサーバ３２は、認証サーバ１０が認証を許可したユーザＩＤに関するファイルサービスの提供を行う。また、ショッピングサーバ３３は、認証サーバ１０が認証を許可したユーザＩＤに関するショッピングサービスの提供を行う。また、写真サーバ３４は、認証サーバ１０が認証を許可したユーザＩＤに関する写真サービスの提供を行う。つまり、ユーザは、１つのユーザＩＤとパスワード等を覚えるだけで、認証サーバ１０への認証が許可されると種々のサーバ３１〜３４からサービスの提供を受けることができるシングルサインオンが可能となる。なお、認証サーバ１０と各種サーバ３１〜３４と認証の許可又は不許可等のデータを送信する場合には、ＳＳＬ／ＴＬＳなどを用いてデータの暗号化を行うようにしてもよい。 The authentication server 10 is connected to various servers (service providing servers) such as a mail server 31, a file server 32, a shopping server 33, and a photograph server 34 via a network. For example, the mail server 31 provides a mail service related to a user ID for which the authentication server 10 has permitted authentication. In addition, the file server 32 provides a file service related to the user ID for which the authentication server 10 has permitted the authentication. Further, the shopping server 33 provides a shopping service related to the user ID for which the authentication server 10 has permitted the authentication. Further, the photo server 34 provides a photo service relating to the user ID for which the authentication server 10 has permitted the authentication. In other words, the user can perform single sign-on, in which the user is only required to remember one user ID and password, and can receive services from various servers 31 to 34 when authentication to the authentication server 10 is permitted. . When data such as permission or non-permission of authentication is transmitted between the authentication server 10 and the various servers 31 to 34, data may be encrypted using SSL / TLS or the like.

１−２．構成
図２は、第１の実施形態のネットワークシステムの機能ブロック図の一例である。なお、第１の実施形態のネットワークシステムは、図２の各部を全て含む必要はなく、その一部を省略した構成としてもよい。 1-2. Configuration FIG. 2 is an example of a functional block diagram of the network system according to the first embodiment. The network system according to the first embodiment does not need to include all of the units illustrated in FIG. 2 and may have a configuration in which some of the units are omitted.

まず、認証サーバ１０の機能について説明する。記憶部１７０は、処理部１００などのワーク領域となるもので、その機能はＲＡＭ（ＶＲＡＭ）などのハードウェアにより実現できる。 First, the function of the authentication server 10 will be described. The storage unit 170 serves as a work area of the processing unit 100 and the like, and its function can be realized by hardware such as a RAM (VRAM).

また、情報記憶媒体１８０は、コンピュータにより読み取り可能であり、この情報記憶媒体１８０にはプログラムやデータなどが格納されている。即ち、情報記憶媒体１８０には、第１の実施形態の各部としてコンピュータを機能させるためのプログラム（各部の処
理をコンピュータに実行させるためのプログラム）が記憶される。つまり、処理部１００は、この情報記憶媒体１８０に格納されるプログラム（データ）から読み出されたデータに基づいて第１の実施形態の種々の処理を行うことができる。 The information storage medium 180 can be read by a computer, and the information storage medium 180 stores programs, data, and the like. That is, the information storage medium 180 stores a program for causing a computer to function as each unit of the first embodiment (a program for causing a computer to execute processing of each unit). That is, the processing unit 100 can perform various processes of the first embodiment based on data read from the program (data) stored in the information storage medium 180.

例えば、情報記憶媒体１８０は、光ディスク（ＣＤ、ＤＶＤ）、光磁気ディスク（ＭＯ）、磁気ディスク、ハードディスク、磁気テープ、或いはメモリ（ＲＯＭ）、メモリカード等である。 For example, the information storage medium 180 is an optical disk (CD, DVD), a magneto-optical disk (MO), a magnetic disk, a hard disk, a magnetic tape, a memory (ROM), a memory card, or the like.

処理部１００は、記憶部１７０に格納されるプログラム（データ）に基づいて第１の実施形態の種々の処理を行う。なお、第１の実施形態の処理部１００が、情報記憶媒体１８０に格納されているプログラムやデータを読み出し、読み出したプログラムやデータを記憶部１７０に格納し、そのプログラムやデータに基づいて処理を行ってもよい。 The processing unit 100 performs various processes of the first embodiment based on a program (data) stored in the storage unit 170. Note that the processing unit 100 according to the first embodiment reads a program or data stored in the information storage medium 180, stores the read program or data in the storage unit 170, and performs processing based on the program or data. May go.

処理部１００（プロセッサ）は、記憶部１７０内の主記憶部をワーク領域として各種処理を行う。処理部１００の機能は各種プロセッサ（ＣＰＵ、ＤＳＰ等）などのハードウェアや、プログラムにより実現できる。 The processing unit 100 (processor) performs various processes using the main storage unit in the storage unit 170 as a work area. The function of the processing unit 100 can be realized by hardware such as various processors (CPU, DSP, and the like) and programs.

処理部１００は、通信制御部１１１、判断部１１２、グループ判定部１１３、認証判定部１１４を含む。 The processing unit 100 includes a communication control unit 111, a determination unit 112, a group determination unit 113, and an authentication determination unit 114.

通信制御部１１１は、ネットワーク（イントラネット又はインターネット）を介して端末２０とデータを送受信する処理を行う。 The communication control unit 111 performs a process of transmitting and receiving data to and from the terminal 20 via a network (an intranet or the Internet).

例えば、通信制御部１１１は、端末２０によって送信されるユーザＩＤ、パスワードを受信する処理を行う。また、通信制御部１１１は、認証の許可又は不許可を端末２０に送信するようにしてもよい。 For example, the communication control unit 111 performs a process of receiving a user ID and a password transmitted by the terminal 20. In addition, the communication control unit 111 may transmit permission or non-permission of authentication to the terminal 20.

また、通信制御部１１１は、認証データベース１１や、メールサーバ３１、ファイルサーバ３２、ショッピングサーバ３３、写真サーバ３４の各種サーバとネットワーク（イントラネット又はインターネット）を介してデータを送受信する処理を行う。例えば、通信制御部１１１は、認証の許可又は不許可を各種サーバ３１〜３４に送信するようにしてもよい。 In addition, the communication control unit 111 performs a process of transmitting and receiving data to and from various servers such as the authentication database 11, the mail server 31, the file server 32, the shopping server 33, and the photo server 34 via a network (intranet or the Internet). For example, the communication control unit 111 may transmit permission or non-permission of authentication to the various servers 31 to 34.

特に、第１の実施形態の通信制御部１１１は、端末２０が第２のグループに属するユーザＩＤの端末２０である場合には、第１の判断部１１２Ａの第１の条件及び第２の判断部１１２Ｂの第２の条件を満たす場合に、第２のグループに属するユーザＩＤの端末２０に、証明情報を送信する処理を行う。 In particular, when the terminal 20 is the terminal 20 having the user ID belonging to the second group, the communication control unit 111 of the first embodiment determines whether the first condition and the second When the second condition of the unit 112B is satisfied, a process of transmitting the certification information to the terminal 20 of the user ID belonging to the second group is performed.

判断部１１２は、認証のための判断を行う。特に、第１の実施形態の判断部１１２は、第１の判断部１１２Ａ、第２の判断部１１２Ｂ、第３の判断部１１２Ｃを含む。 The determination unit 112 makes a determination for authentication. In particular, the determination unit 112 according to the first embodiment includes a first determination unit 112A, a second determination unit 112B, and a third determination unit 112C.

第１の判断部１１２Ａは、端末２０から受信したユーザＩＤとパスワードとが、予め認証データベース１１に登録されているユーザＩＤとパスワードと一致することを第１の条件とする当該第１の条件を満たすか否かを判断する。 The first determination unit 112A determines that the first condition is that the user ID and the password received from the terminal 20 match the user ID and the password registered in the authentication database 11 in advance. It is determined whether or not the condition is satisfied.

第２の判断部１１２Ｂは、端末２０の送信元のアドレス情報が、予め認証データベース１１に登録されているアドレス情報と一致することを第２の条件とする当該第２の条件を満たすか否かを判断する。 The second determination unit 112B determines whether or not the address information of the transmission source of the terminal 20 satisfies the second condition that the second condition is that the address information matches the address information registered in the authentication database 11 in advance. Judge.

第３の判断部１１２Ｃは、端末２０から受信した証明情報が、予め認証データベース１
１に登録されている証明情報と一致することを第３の条件とする当該第３の条件を満たすか否かを判断する。 The third determining unit 112C determines that the certification information received from the terminal 20
It is determined whether or not the third condition is that the third condition is to match the certification information registered in No. 1.

グループ判定部１１３は、ユーザＩＤのグループを判定する。第１の実施形態では、２以上の複数のグループ（例えば、第１、第２のグループ）のうち、ユーザＩＤがいずれのグループに属するかを、認証データベース１１に登録されているユーザ情報を参照して判定する。 The group determination unit 113 determines the group of the user ID. In the first embodiment, the user information registered in the authentication database 11 refers to which group the user ID belongs to among two or more groups (for example, first and second groups). Is determined.

認証判定部１１４は、ユーザＩＤの認証の許可又は不許可を判定する。そして、認証判定部１１４は、第１の判断部１１２Ａの第１の条件及び第２の判断部１１２Ｂの第２の条件を満たす場合に、第１のグループに属するユーザＩＤの認証を許可し、第１の判断部１１２Ａの第１の条件及び第２の判断部１１２Ｂの第２の条件を満たす場合、又は、第１の判断部１１２Ａの第１の条件及び第３の判断部１１２Ｃの第３の条件を満たす場合に、第２のグループに属するユーザＩＤの認証を許可する。 The authentication determination unit 114 determines whether the authentication of the user ID is permitted or not permitted. Then, when the first condition of the first determination unit 112A and the second condition of the second determination unit 112B are satisfied, the authentication determination unit 114 permits the authentication of the user ID belonging to the first group, When the first condition of the first determination unit 112A and the second condition of the second determination unit 112B are satisfied, or the first condition of the first determination unit 112A and the third condition of the third determination unit 112C are satisfied. Is satisfied, the authentication of the user ID belonging to the second group is permitted.

認証サーバ１０は、認証データベース１１を含む。認証データベース１１には、ユーザＩＤ、パスワード、アドレス情報、証明情報などの情報が登録（格納、記憶）される。第１の実施形態では、管理者からの入力情報に基づいて、予め情報を認証データベース１１に登録してもよい。また、管理者からの入力情報に基づいて、情報の更新処理、情報の削除処理を行うようにしてもよい。また、第１の実施形態では、認証サーバ１０が、登録処理を行ってもよい。例えば、認証サーバ１０は、端末２０からの登録要求に基づいてユーザＩＤ、パスワード等を登録してもよい。また、第１の実施形態では、認証サーバ１０が、更新処理を行ってもよい。例えば、認証サーバ１０は、端末２０からの更新要求に基づいてユーザＩＤ、パスワード等を更新してもよい。また、第１の実施形態では、認証サーバ１０が削除処理を行ってもよい。例えば、認証サーバ１０は、端末２０からの削除要求に基づいてユーザＩＤ、パスワード等を削除してもよい。なお、第１の実施形態では認証データベース１１の記憶部（記憶領域）が認証サーバ１０の記憶部１７０（記憶領域）から物理的に分離されているが、認証サーバ１０の記憶部１７０に、認証データベース１１のデータを記憶させるようにしてもよい。 The authentication server 10 includes an authentication database 11. Information such as a user ID, a password, address information, and certification information is registered (stored and stored) in the authentication database 11. In the first embodiment, information may be registered in the authentication database 11 in advance based on input information from an administrator. Further, information update processing and information deletion processing may be performed based on input information from an administrator. In the first embodiment, the authentication server 10 may perform a registration process. For example, the authentication server 10 may register a user ID, a password, and the like based on a registration request from the terminal 20. In the first embodiment, the authentication server 10 may perform an update process. For example, the authentication server 10 may update the user ID, the password, and the like based on an update request from the terminal 20. In the first embodiment, the authentication server 10 may perform a deletion process. For example, the authentication server 10 may delete the user ID, the password, and the like based on a deletion request from the terminal 20. Although the storage unit (storage area) of the authentication database 11 is physically separated from the storage unit 170 (storage area) of the authentication server 10 in the first embodiment, the storage unit 170 of the authentication server 10 The data of the database 11 may be stored.

また、第１の実施形態の処理部１００は、Ｗｅｂサーバとして機能するＷｅｂ処理部を含んでいてもよい。例えば、Ｗｅｂ処理部は、ＨＴＴＰ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）を通じて、端末２０にインストールされているＷｅｂブラウザ２１０の要求に応じてデータを送信する処理、端末２０のＷｅｂブラウザ２１０によって送信されるデータを受信する処理を行う。特に、第１の実施形態では、Ｗｅｂ処理部が、ユーザ認証を行うためのログイン画面を提供し、端末２０のＷｅｂブラウザ２１０によって送信されたユーザＩＤ、パスワード等のユーザ情報を受信する処理を行うようにしてもよい。 Further, the processing unit 100 according to the first embodiment may include a Web processing unit that functions as a Web server. For example, the Web processing unit transmits data in response to a request from the Web browser 210 installed in the terminal 20 through HTTP (Hypertext Transfer Protocol), and receives data transmitted by the Web browser 210 of the terminal 20. Perform processing. In particular, in the first embodiment, the Web processing unit provides a login screen for performing user authentication, and performs processing for receiving user information such as a user ID and a password transmitted by the Web browser 210 of the terminal 20. You may do so.

端末２０は、コンピュータ、スマートフォン、タブレット型コンピュータ、携帯電話、ゲーム機などである。 The terminal 20 is a computer, a smartphone, a tablet computer, a mobile phone, a game machine, or the like.

記憶部２７０は、処理部２００などのワーク領域となるもので、その機能はＲＡＭ（ＶＲＡＭ）などのハードウェアにより実現できる。 The storage unit 270 serves as a work area for the processing unit 200 and the like, and its function can be realized by hardware such as a RAM (VRAM).

また、情報記憶媒体２８０は、コンピュータにより読み取り可能であり、この情報記憶媒体２８０にはプログラムやデータなどが格納されている。即ち、情報記憶媒体２８０には、第１の実施形態の各部としてコンピュータを機能させるためのプログラム（各部の処理をコンピュータに実行させるためのプログラム）が記憶される。つまり、処理部２００は、この情報記憶媒体２８０に格納されるプログラム（データ）から読み出されたデータ
に基づいて第１の実施形態の種々の処理を行うことができる。 The information storage medium 280 can be read by a computer, and the information storage medium 280 stores programs and data. That is, the information storage medium 280 stores a program for causing a computer to function as each unit of the first embodiment (a program for causing a computer to execute processing of each unit). That is, the processing unit 200 can perform various processes of the first embodiment based on data read from the program (data) stored in the information storage medium 280.

例えば、情報記憶媒体２８０は、光ディスク（ＣＤ、ＤＶＤ）、光磁気ディスク（ＭＯ）、磁気ディスク、ハードディスク、磁気テープ、或いはメモリ（ＲＯＭ）、メモリカード等である。 For example, the information storage medium 280 is an optical disk (CD, DVD), a magneto-optical disk (MO), a magnetic disk, a hard disk, a magnetic tape, a memory (ROM), a memory card, or the like.

処理部２００は、記憶部２７０に格納されるプログラム（データ）に基づいて第１の実施形態の種々の処理を行う。なお、第１の実施形態の処理部２００が、情報記憶媒体２８０に格納されているプログラムやデータを読み出し、読み出したプログラムやデータを記憶部２７０に格納し、そのプログラムやデータに基づいて処理を行ってもよい。 The processing unit 200 performs various processes of the first embodiment based on a program (data) stored in the storage unit 270. The processing unit 200 according to the first embodiment reads a program or data stored in the information storage medium 280, stores the read program or data in the storage unit 270, and performs processing based on the program or data. May go.

処理部２００（プロセッサ）は、記憶部２７０内の主記憶部をワーク領域として各種処理を行う。処理部２００の機能は各種プロセッサ（ＣＰＵ、ＤＳＰ等）などのハードウェアや、プログラムにより実現できる。 The processing unit 200 (processor) performs various processes using the main storage unit in the storage unit 270 as a work area. The function of the processing unit 200 can be realized by hardware such as various processors (CPU, DSP, and the like) and programs.

処理部２００は、Ｗｅｂブラウザ２１０、通信制御部２１１を含む。端末２０は、Ｗｅｂブラウザ２１０によって、インターネットを介してＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）によって指定されたＷｅｂサーバからの情報を表示させることができる。例えば、端末２０は、認証サーバ１０において認証が許可されると、Ｗｅｂサーバ機能を備えたメールサーバ３１からの端末２０のユーザＩＤのメール情報（ユーザの受信メール、送信されたメール等）を表示させることができる。また、第１の実施形態のＷｅｂブラウザ２１０は、ファイルのダウンロードが禁止されているＷｅｂブラウザであってもよい。 The processing unit 200 includes a Web browser 210 and a communication control unit 211. The terminal 20 can cause the Web browser 210 to display information from a Web server specified by a URL (Uniform Resource Locator) via the Internet. For example, when the authentication is permitted in the authentication server 10, the terminal 20 displays mail information (user's received mail, transmitted mail, etc.) of the user ID of the terminal 20 from the mail server 31 having the Web server function. Can be done. Further, the Web browser 210 of the first embodiment may be a Web browser in which file download is prohibited.

通信制御部２１１は、ネットワークを介して認証サーバ１０、各種サーバ３１〜３４等とデータを送受信する処理を行う。例えば、通信制御部２１１は、入力部２２０から入力されたユーザＩＤとパスワードとを、認証サーバ１０に送信する処理を行う。また、通信制御部２１１は、Ｗｅｂブラウザ２１０に予め証明情報が設定されている場合に、証明情報を認証サーバ１０に送信するようにしてもよい。また、通信制御部２１１は、認証判定の結果（許可又は不許可）を認証サーバ１０から受信するようにしてもよい。また、通信制御部２１１は、認証サーバ１０によって認証が許可された場合に、メールサーバ３１から当該端末２０のユーザＩＤに関するメール情報を受信するようにしてもよい。 The communication control unit 211 performs a process of transmitting and receiving data to and from the authentication server 10 and various servers 31 to 34 via the network. For example, the communication control unit 211 performs a process of transmitting the user ID and the password input from the input unit 220 to the authentication server 10. Further, the communication control unit 211 may transmit the certification information to the authentication server 10 when the certification information is set in the Web browser 210 in advance. In addition, the communication control unit 211 may receive the result of the authentication determination (permission or non-permission) from the authentication server 10. Further, the communication control unit 211 may receive mail information on the user ID of the terminal 20 from the mail server 31 when the authentication is permitted by the authentication server 10.

入力部２２０は、ユーザ（操作者）からの入力情報を入力するための入力機器（コントローラ）であり、ユーザの入力情報を処理部２００に出力する。第１の実施形態の入力部２２０は、ユーザの入力情報（入力信号）を検出する検出部を備えていてもよい。例えば、入力部２２０は、キーボードの入力情報を検出し、タッチパネル型ディスプレイの接触位置（タッチ位置）を検出する。 The input unit 220 is an input device (controller) for inputting input information from a user (operator), and outputs user input information to the processing unit 200. The input unit 220 of the first embodiment may include a detection unit that detects user input information (input signal). For example, the input unit 220 detects input information of the keyboard and detects a contact position (touch position) of the touch panel display.

また、入力部２２０は、３軸の加速度を検出する加速度センサや、角速度を検出するジャイロセンサ、撮像部を備えた入力機器でもよい。また入力部２２０は、入力機器と一体化されている端末２０（スマートフォン、携帯電話、携帯端末、携帯型ゲーム装置）なども含まれる。 The input unit 220 may be an acceleration sensor that detects three-axis acceleration, a gyro sensor that detects an angular velocity, or an input device including an imaging unit. The input unit 220 also includes the terminal 20 (smartphone, mobile phone, portable terminal, portable game device) integrated with the input device, and the like.

表示部２９０は、Ｗｅｂブラウザの情報、画像を出力するものであり、その機能は、ＣＲＴ、ＬＣＤ、タッチパネル型ディスプレイ、あるいはＨＭＤ（ヘッドマウントディスプレイ）などにより実現できる。 The display unit 290 outputs information and images of a Web browser, and its function can be realized by a CRT, an LCD, a touch panel display, an HMD (head mounted display), or the like.

１−３．第１の実施形態の処理の手法
１−３−１．概要
第１の実施形態の認証サーバ１０は、組織内の複数のユーザについてグループ分けを行い、各グループに応じた認証を行う手法を採用する。つまり、認証サーバ１０は、端末のユーザＩＤのグループを判定し、ユーザＩＤの属するグループに基づいてユーザＩＤの認証の許可又は不許可を判定する手法を採用する。 1-3. Processing method of first embodiment 1-3-1. 1. Overview The authentication server 10 according to the first embodiment adopts a method of grouping a plurality of users in an organization and performing authentication according to each group. That is, the authentication server 10 determines the group of the user ID of the terminal, and adopts a method of determining whether the authentication of the user ID is permitted or not based on the group to which the user ID belongs.

例えば、認証サーバ１０は、（１）端末から受信したユーザＩＤとパスワードとが、予め認証データベース１１に登録されているユーザＩＤとパスワードと一致することを第１の条件とする当該第１の条件を満たすか否かを判断する第１の判断と、（２）端末の送信元のアドレス情報が、予め認証データベース１１に登録されているアドレス情報（例えば、会社のネットワークのゲートウェイのＩＰアドレス）と一致することを第２の条件とする当該第２の条件を満たすか否かを判断する第２の判断と、（３）端末から受信した証明情報が、予め認証データベース１１に登録されている証明情報と一致することを第３の条件とする当該第３の条件を満たすか否かを判断する第３の判断を行う。そして、認証サーバ１０は、第１の条件及び第２の条件を満たす場合に、第１のグループに属するユーザＩＤ（例えば、開発部のグループのユーザＩＤ）の認証を許可し、第１の条件及び第２の条件を満たす場合、又は、第１の条件及び第３の条件を満たす場合に、第２のグループに属するユーザＩＤ（例えば、営業部のグループのユーザＩＤ）の認証を許可する。 For example, the authentication server 10 (1) sets the first condition that the first condition is that the user ID and the password received from the terminal match the user ID and the password registered in the authentication database 11 in advance. And (2) the address information of the transmission source of the terminal is the same as the address information (for example, the IP address of the gateway of the company network) registered in the authentication database 11 in advance. A second determination that determines whether the second condition is satisfied that the second condition is satisfied, and (3) a certificate registered in advance in the authentication database 11 by the certificate information received from the terminal. A third determination is made to determine whether or not the third condition is satisfied that the information matches the information. Then, when the first condition and the second condition are satisfied, the authentication server 10 permits the authentication of the user ID belonging to the first group (for example, the user ID of the group of the development department), and If the second and third conditions are satisfied, or if the first and third conditions are satisfied, authentication of a user ID belonging to the second group (for example, a user ID of a sales department group) is permitted.

このようにすれば、第１のグループに属するユーザＩＤと、第２のグループに属するユーザＩＤで異なった方法・フローで認証を判定するので、利便性とセキュリティを高めつつ、グループに応じた適切な認証を行うことができる。つまり、会社のネットワークのゲートウェイのＩＰアドレスが認証データベース１１に予め登録されている場合には、第１のグループ（例えば開発グループ）に属するユーザＩＤについては、社内のネットワークからのアクセスに制限することによって、セキュリティを高めることができる。また、第２のグループ（例えば営業グループ）に属するユーザＩＤについては、社内のネットワークからのアクセスも可能であるし、社外のネットワークからのアクセスであった場合であっても、証明情報の一致を条件に認証を許可する。このように、第１の実施形態では、第２のグループのユーザに対して、セキュリティを高めつつ社外のネットワークからでもアクセス可能なように利便性を高めるようにしている。 According to this configuration, the authentication is determined by a different method and flow based on the user ID belonging to the first group and the user ID belonging to the second group. Authentication can be performed. That is, when the IP address of the gateway of the company network is registered in the authentication database 11 in advance, the access to the user ID belonging to the first group (for example, the development group) is restricted from the network in the company. Can increase security. For a user ID belonging to a second group (for example, a sales group), access from an in-house network is also possible. Allow authentication for conditions. As described above, in the first embodiment, the convenience of the second group of users is enhanced so that the users can be accessed from a network outside the company while increasing the security.

１−３−２．認証データベース
１−３−２−１．ユーザ情報
図３（Ａ）は、認証データベース１１に登録されているユーザ情報の一例である。ユーザ情報は、ユーザＩＤ（ユーザ識別情報、ユーザ名）、パスワード、ユーザが属するグループＩＤ（グループ識別情報）を含む。また、ユーザ情報には、ＯＴＰ（ＯＴＰはワンタイムパスワードの略）のｓｅｅｄ番号（種番号）、証明情報を含んでいてもよい。ＯＴＰのｓｅｅｄ番号、証明情報が登録されていない場合には、ＮＵＬＬが設定される。また、パスワード、グループＩＤ、ＯＴＰのｓｅｅｄ番号、証明情報は、ユーザＩＤに対応付けられて登録される。なお、第１の実施形態の証明情報は、１ユーザあたり１つの識別された情報（アルファベットや数字からなる文字列）とし、ユーザ毎に異なる証明情報が付与される。なお、図３（Ａ）は、組織ＩＤが１の○○会社のユーザ情報である。第１の実施形態では、組織毎にユーザ情報を管理する。 1-3-2. Authentication database 1-3-2-1. FIG. 3A is an example of user information registered in the authentication database 11. The user information includes a user ID (user identification information, user name), a password, and a group ID (group identification information) to which the user belongs. Further, the user information may include a seed number (seed number) of OTP (OTP is an abbreviation of one-time password) and certification information. If the OTP seed number and the certification information are not registered, NULL is set. The password, the group ID, the OTP seed number, and the certification information are registered in association with the user ID. Note that the certification information of the first embodiment is one piece of identified information (a character string composed of alphabets and numerals) per user, and different certification information is assigned to each user. FIG. 3A shows the user information of the company XX whose organization ID is 1. In the first embodiment, user information is managed for each organization.

１−３−２−２．組織情報
図３（Ｂ）は、認証データベース１１に登録されている組織情報の一例である。例えば、組織情報は、組織ＩＤ（組織識別情報）、組織名、その組織のネットワークのＩＰアドレス（ネットワークのゲートウェイのＩＰアドレス）を含む。つまり、組織ＩＤに対応づけて、組織名、組織のネットワークのＩＰアドレスが登録される。 1-3-2-2. Organization Information FIG. 3B is an example of organization information registered in the authentication database 11. For example, the organization information includes an organization ID (organization identification information), an organization name, and an IP address of a network of the organization (an IP address of a gateway of the network). That is, the organization name and the IP address of the network of the organization are registered in association with the organization ID.

１−３−２−３．フローパターン（処理パターン）
図３（Ｃ）は、認証データベース１１に登録されている各種フローパターン（処理パターン、処理類型）の一例である。例えば、図３（Ｃ）に示すように、グループＩＤに対応づけて、アクセス成功・失敗フロー、ＯＴＰ確認フロー（ワンタイムパスワード確認フロー）、証明情報確認フロー、証明情報付与フローそれぞれのパターン（類型）が登録される。 1-3-2-3. Flow pattern (processing pattern)
FIG. 3C is an example of various flow patterns (processing patterns, processing types) registered in the authentication database 11. For example, as shown in FIG. 3C, patterns (types) of the access success / failure flow, the OTP confirmation flow (one-time password confirmation flow), the proof information confirmation flow, and the proof information grant flow are associated with the group ID. ) Is registered.

１−３−２−３−１．アクセス成功・失敗フロー
まず、アクセス成功・失敗フローについて説明する。アクセス成功・失敗フローとは、ユーザの端末２０から認証サーバ１０へのアクセスの成功又は失敗を判定するための処理の流れである。 1-3-2-3-1. Access Success / Failure Flow First, an access success / failure flow will be described. The access success / failure flow is a process flow for determining success or failure of access from the user terminal 20 to the authentication server 10.

図４（Ａ）は、アクセス成功・失敗フローのＡパターンである。Ａパターンについて説明すると、まず、組織のネットワークからのアクセスか否かを判断する（ステップＳ１）。つまり、認証サーバ１０は、端末２０の送信元のアドレス情報が、予め認証データベース１１に登録されているアドレス情報と一致するか否か（第２の判断部１１２Ｂの第２の条件を満たすか否か）を判断する。例えば、認証サーバ１０は、端末２０から受信したパケット情報から、端末２０の送信元（アクセス元）のＩＰアドレスを検出し、端末の送信元のＩＰアドレスが、認証データベースに登録されているＩＰアドレスと一致するか否かを判断する。例えば、端末２０−Ａの送信元のＩＰアドレスが「１２２．２００．２４３．２４０」の場合には、図３（Ｂ）に示すように、端末２０−Ａの送信元のＩＰアドレスが認証データベース１１に登録されているので、「○○会社」のネットワークからのアクセスであると判定できる。つまり、組織（○○会社）のネットワークからのアクセスであると判定される。 FIG. 4A shows an A pattern of an access success / failure flow. Describing the pattern A, first, it is determined whether or not the access is from an organization network (step S1). That is, the authentication server 10 determines whether or not the address information of the transmission source of the terminal 20 matches the address information registered in the authentication database 11 in advance (whether or not the second determination unit 112B satisfies the second condition). Judge). For example, the authentication server 10 detects the IP address of the transmission source (access source) of the terminal 20 from the packet information received from the terminal 20, and determines the IP address of the transmission source of the terminal 20 as the IP address registered in the authentication database. It is determined whether or not they match. For example, when the source IP address of the terminal 20-A is “122.200.243.240”, as shown in FIG. 3B, the source IP address of the terminal 20-A is stored in the authentication database. 11, it can be determined that the access is from the network of “company XX”. That is, it is determined that the access is from the network of the organization (company XX).

そして、組織のネットワークからのアクセスである場合（ステップＳ１のＹ）、成功と判定し（ステップＳ２）、一方、組織のネットワークからのアクセスでない場合（ステップＳ１のＮ）、つまり、組織外（例えば、「○○会社」の社外）のネットワークからのアクセスである場合は、失敗と判定する（ステップＳ３）。図３（Ｃ）の例によれば、開発部、営業部、管理部のグループはパターンＡのフローでアクセス成功・失敗を判定する。 Then, if the access is from the organization network (Y in step S1), it is determined that the access is successful (step S2), whereas if the access is not from the organization network (N in step S1), that is, outside the organization (for example, If the access is from a network outside the company "company XX"), it is determined to have failed (step S3). According to the example of FIG. 3C, the group of the development department, the sales department, and the management department determines access success / failure in the flow of the pattern A.

図４（Ｂ）は、アクセス成功・失敗フローのＢパターンの条件式である。Ｂパターンについて説明すると、まず、組織のネットワークからのアクセスか否かを判断する（ステップＳ５）。そして、組織のネットワークからのアクセスである場合（ステップＳ５のＹ）、現在時刻が所定時間帯（例えば、午前９時から午後６時まで）であるか否かを判断する（ステップＳ６）。現在時刻が所定時間帯である場合には（ステップＳ６のＹ）、成功と判定する（ステップＳ７）。一方、組織のネットワークからのアクセスでない場合（ステップＳ５のＮ）、或いは、現在時刻が所定時間帯でない場合には（ステップＳ６のＮ）、失敗と判定する（ステップＳ８）。図３（Ｃ）の例によれば、アルバイトのグループはパターンＢのフローでアクセス成功・失敗を判定する。なお、第１の実施形態では、アクセス成功・失敗フローの他のパターンを用意しておいてもよい。例えば、端末の送信元のＩＰアドレスのドメイン名が特定の文字列（例えば、「ｊｐ」）を含む場合には、成功と判定し、端末の送信元のＩＰアドレスのドメイン名が特定の文字列を含まない場合には、失敗と判定するフローをＣパターンとして用意しておいてもよい。 FIG. 4B is a conditional expression of the B pattern of the access success / failure flow. Describing the pattern B, first, it is determined whether or not the access is from an organization network (step S5). Then, if the access is from the network of the organization (Y in step S5), it is determined whether or not the current time is within a predetermined time zone (for example, from 9:00 am to 6:00 pm) (step S6). If the current time is within the predetermined time zone (Y in step S6), it is determined that the process is successful (step S7). On the other hand, if the access is not from the network of the organization (N in step S5), or if the current time is not within the predetermined time zone (N in step S6), it is determined that the access has failed (step S8). According to the example of FIG. 3C, the part-time job group determines access success / failure in the pattern B flow. In the first embodiment, another pattern of the access success / failure flow may be prepared. For example, if the domain name of the source IP address of the terminal includes a specific character string (for example, “jp”), it is determined that the operation is successful, and the domain name of the IP address of the terminal source is specified by the specific character string. If it is not included, a flow for determining failure may be prepared as a C pattern.

１−３−２−３−２．ＯＴＰ確認フロー
次に、ＯＴＰ確認フロー（ワンタイムパスワード確認フロー）について説明する。ＯＴＰ確認フローとは、ユーザの端末に対して、ＯＴＰの確認を必要とするか否かを判定するための処理の流れである。 1-3-2-3-2. OTP Confirmation Flow Next, the OTP confirmation flow (one-time password confirmation flow) will be described. The OTP confirmation flow is a processing flow for determining whether or not the user terminal needs to confirm the OTP.

図５は、ＡパターンのＯＴＰ確認フローである。例えば、組織のネットワークからのア
クセスか否かを判断する（ステップＳ１０）。つまり、上述したように、認証サーバ１０は、端末２０の送信元のアドレス情報が、予め認証データベース１１に登録されているアドレス情報と一致するか否か（第２の判断部１１２Ｂの第２の条件を満たすか否か）を判断する。そして、組織のネットワークからのアクセスである場合（ステップＳ１０のＹ）、不要と判定し（ステップＳ１１）、組織のネットワークからのアクセスでない場合（ステップＳ１０のＮ）、つまり、組織外（例えば、「○○会社」の社外）のネットワークからのアクセスである場合は、必要と判定する（ステップＳ１２）。図３（Ｃ）の例によれば、開発部、管理部、営業部、アルバイトはパターンＡのフローでＯＴＰの確認の要・不要を判定する。なお、第１の実施形態では、ＯＴＰ確認フローの他のパターンを用意しておいてもよい。 FIG. 5 is an OTP confirmation flow of the pattern A. For example, it is determined whether the access is from an organization network (step S10). That is, as described above, the authentication server 10 determines whether the address information of the transmission source of the terminal 20 matches the address information registered in the authentication database 11 in advance (the second determination unit 112B performs the second determination). Whether the condition is satisfied). If the access is from the organization's network (Y in step S10), it is determined that the access is unnecessary (step S11), and if the access is not from the organization's network (N in step S10), that is, outside the organization (for example, “ If the access is from a network outside the company "XX", it is determined that the access is necessary (step S12). According to the example of FIG. 3C, the development department, the management department, the sales department, and the part-time job determine whether or not the OTP confirmation is necessary or not in the flow of the pattern A. In the first embodiment, another pattern of the OTP confirmation flow may be prepared.

１−３−２−３−３．証明情報確認フロー
次に、証明情報確認フローについて説明する。証明情報確認フローとは、ユーザの端末に対して、証明情報の確認を必要とするか否かを判定するための処理の流れである。 1-3-2-3-3. Certification Information Confirmation Flow Next, the certification information confirmation flow will be described. The certification information confirmation flow is a processing flow for determining whether confirmation of certification information is necessary for a user terminal.

第１の実施形態では、Ａパターンの証明情報確認フローは、ＯＴＰ確認フローのＡパターンと同様のフローを採用している。また、図３（Ｃ）の例によれば、開発部、管理部、営業部、アルバイトはパターンＡのフローで証明情報の確認の要・不要を判定する。なお、第１の実施形態では、独自の証明情報確認フローを設定してもよいし、複数種類の証明情報確認フローを設定しておいてもよい。 In the first embodiment, the flow similar to the pattern A of the OTP confirmation flow is adopted as the proof information confirmation flow of the pattern A. Further, according to the example of FIG. 3C, the development department, the management department, the sales department, and the part-time job determine whether the verification of the certification information is necessary or not in the flow of the pattern A. In the first embodiment, a unique certification information confirmation flow may be set, or a plurality of types of certification information confirmation flows may be set.

１−３−２−３−４．証明情報付与フロー
次に、証明情報付与フローについて説明する。証明情報付与フローとは、ユーザの端末に対して、証明情報を付与するか否かを判定するための処理の流れである。 1-3-2-3-4. Next, the proof information providing flow will be described. The proof information provision flow is a processing flow for determining whether to provide proof information to a user terminal.

図６（Ａ）は、Ａパターンの証明情報付与フローである。例えば、組織のネットワークからのアクセスか否かを判断する（ステップＳ２０）。つまり、上述したように、認証サーバ１０は、端末２０の送信元のアドレス情報が、予め認証データベース１１に登録されているアドレス情報と一致するか否か（第２の判断部１１２Ｂの第２の条件を満たすか否か）を判断する。そして、組織のネットワークからのアクセスである場合（ステップＳ２０のＹ）付与すると判定し（ステップＳ２１）、組織のネットワークからのアクセスでない場合（ステップＳ２０のＮ）、つまり、組織外（例えば、「○○会社」の社外）のネットワークからのアクセスである場合は、付与しないと判定する（ステップＳ２２）。図３（Ｃ）の例によれば、営業部はパターンＡの証明情報付与フローで証明情報を付与するか否かを判定する。 FIG. 6A is a flow of providing the proof information of the A pattern. For example, it is determined whether the access is from an organization network (step S20). That is, as described above, the authentication server 10 determines whether the address information of the transmission source of the terminal 20 matches the address information registered in the authentication database 11 in advance (the second determination unit 112B performs the second determination). Whether the condition is satisfied). Then, when the access is from the organization network (Y in step S20), it is determined that the access is granted (step S21). When the access is not from the organization network (N in step S20), that is, outside the organization (for example, “「 ”) If the access is from a network outside the "company", it is determined that the access is not granted (step S22). According to the example of FIG. 3C, the sales department determines whether to provide proof information in the proof information providing flow of pattern A.

図６（Ｂ）は、Ｂパターンの証明情報付与フローである。Ｂパターンは、常に付与しないと判定する（ステップＳ２３）。つまり、組織（例えば、○○会社）内外のネットワークを問わず常に証明情報を付与しないと判定する。図３（Ｃ）の例によれば、開発部、管理部、アルバイトは、パターンＢのフローで証明情報を付与しないと判定される。このように、社外のネットワークからのアクセスを禁止したいグループに対しては証明情報を付与しないようにすることで、セキュリティを更に向上させることができる。 FIG. 6B is a flow of providing the proof information of the B pattern. It is determined that the B pattern is not always added (step S23). That is, it is determined that the certification information is not always added regardless of the network inside or outside the organization (for example, company XX). According to the example of FIG. 3C, it is determined that the development unit, the management unit, and the part-time job do not add the certification information in the flow of the pattern B. As described above, security is further improved by not providing proof information to a group that wants to prohibit access from an external network.

１−３−２−４．ワンタイムパスワードの説明
第１の実施形態では、社外のネットワークからのアクセスは、詐欺、盗難などのセキュリティ上の問題があるので、社外のネットワークからアクセスする可能性のある特定のグループに属するユーザ（例えば、営業部のユーザ）の端末２０に、認証サーバ１０とアルゴリズムが同じＯＴＰ（ワンタイムパスワード）を生成するＯＴＰ生成プログラムをインストールし、ワンタイムパスワードを用いた認証を行っている。 1-3-2-4. Description of One-Time Password In the first embodiment, access from a network outside the company has security problems such as fraud and theft. Therefore, users belonging to a specific group who may access from a network outside the company ( For example, an OTP generation program that generates an OTP (one-time password) having the same algorithm as the authentication server 10 is installed in the terminal 20 of the sales department user), and authentication using the one-time password is performed.

例えば、端末２０にインストールされたＯＴＰ生成プログラム（或いはＯＴＰ生成装置の生成プログラム）と、認証サーバ１０にインストールされたＯＴＰ生成プログラムとにおいて、アルゴリズム及びｓｅｅｄ番号（種番号）は一致しており、その結果、端末側（ユーザに付与したＯＴＰ生成装置側）で生成されたＯＴＰと、認証サーバで生成されたＯＴＰが一致していることになる。例えば、ワンタイムパスワード生成プログラムでは、所定周期（３０秒毎）に、時刻とｓｅｅｄ番号（種番号）とに基づいてワンタイムパスワードを生成する処理を行う。なお、第１の実施形態では、営業部などの特定のグループについて、ワンタイムパスワードの照合処理を含めて認証を行っているが、ワンタイムパスワードの照合処理を行わないように制御してもよい。 For example, the algorithm and the seed number (seed number) of the OTP generation program (or the generation program of the OTP generation device) installed in the terminal 20 and the OTP generation program installed in the authentication server 10 are the same. As a result, the OTP generated on the terminal side (the OTP generation device side assigned to the user) matches the OTP generated on the authentication server. For example, in the one-time password generation program, a process of generating a one-time password based on the time and a seed number (seed number) is performed at a predetermined cycle (every 30 seconds). In the first embodiment, authentication is performed for a specific group such as a sales department, including one-time password verification processing. However, control may be performed so as not to perform one-time password verification processing. .

１−３−２−５．証明情報の説明
また、第１の実施形態では、営業部などの特定のグループに属するユーザの端末２０に対して証明情報を付与するようにしている。例えば、認証サーバ１０は、端末２０が第２のグループ（例えば、営業部のグループ）に属するユーザＩＤの端末２０である場合には、端末２０から受信したユーザＩＤとパスワードとが、予め認証データベース１１に登録されているユーザＩＤとパスワードと一致する場合（第１の判断部１１２Ａの第１の条件を満たす場合）及び端末２０の送信元のアドレス情報が、予め認証データベース１１に登録されているアドレス情報と一致する場合（第２の判断部１１２Ｂの第２の条件を満たす場合）に、当該第２のグループに属するユーザＩＤの端末に、証明情報を送信する処理を行う。また、端末２０は、Ｗｅｂブラウザを用いて、端末２０と認証サーバ１０との通信を行い、例えば、端末２０は、認証サーバ１０から証明情報を受信した場合には、当該証明情報をＷｅｂブラウザのクッキーとして記憶する処理を行う。「クッキー」とは、ＨＴＴＰｃｏｏｋｉｅであり、Ｗｅｂブラウザに記憶される情報のことを示す。 1-3-2-5. Description of Certification Information In the first embodiment, certification information is assigned to the terminal 20 of a user belonging to a specific group such as a sales department. For example, when the terminal 20 is a terminal 20 having a user ID belonging to a second group (for example, a sales department group), the authentication server 10 stores the user ID and the password received from the terminal 20 in an authentication database in advance. In the case where the user ID and the password registered in the terminal 11 match (when the first condition of the first determination unit 112A is satisfied), the address information of the transmission source of the terminal 20 is registered in the authentication database 11 in advance. When the address information matches (when the second condition of the second determination unit 112B is satisfied), the process of transmitting the certification information to the terminal of the user ID belonging to the second group is performed. Further, the terminal 20 performs communication between the terminal 20 and the authentication server 10 using a Web browser. For example, when the terminal 20 receives the proof information from the authentication server 10, the terminal 20 transmits the proof information to the Web browser. Perform processing to store as a cookie. “Cookie” is HTTP cookie and indicates information stored in a Web browser.

例えば、図１を用いて説明すると、認証データベース１１に、「○○会社」のネットワーク３０のゲートウェイのＩＰアドレス（１２２．２００．２４３．２４０）が登録されているとする。そして、図１に示すように、例えば、営業部のユーザＢが社内にいる際に、社内のネットワークに接続された端末２０−Ｂから認証サーバ１０にアクセスし、認証許可されると認証サーバ１０から証明情報を受信する。つまり、端末２０−ＢのＷｅｂブラウザに、クッキーとして証明情報が記憶される。そして、営業部のユーザＢが端末２０−Ｂを持ち帰り、例えば、自宅のネットワークに端末２０−Ｂを接続し、端末２０−ＢがＷｅｂブラウザを用いてインターネットを介して認証サーバ１０にアクセスすると、入力されたユーザＩＤ、パスワード、及び、Ｗｅｂブラウザのクッキーとして設定された証明情報を認証サーバ１０に送信する。そして、認証サーバ１０は、端末２０−Ｂから受信したユーザＩＤ、パスワード、証明情報を認証データベース１１に登録されているユーザＩＤ、パスワード、証明情報と一致している場合に、認証を許可する。 For example, referring to FIG. 1, it is assumed that the IP address (122.200.243.240) of the gateway of the network 30 of “XX company” is registered in the authentication database 11. Then, as shown in FIG. 1, for example, when the user B of the sales department is inside the company, the user accesses the authentication server 10 from the terminal 20-B connected to the company network, and when the authentication is permitted, the authentication server 10 Receive certification information from. That is, the certification information is stored as a cookie in the Web browser of the terminal 20-B. Then, when the user B of the sales department takes the terminal 20-B home and connects the terminal 20-B to the home network, for example, and the terminal 20-B accesses the authentication server 10 via the Internet using a Web browser, The input user ID, password, and certification information set as a cookie of the Web browser are transmitted to the authentication server 10. Then, the authentication server 10 permits the authentication when the user ID, the password, and the proof information received from the terminal 20-B match the user ID, the password, and the proof information registered in the authentication database 11.

このように、第１の実施形態では、営業部のユーザＢが使用する端末２０−Ｂが認証サーバ１０に認証許可されることを契機として端末２０−Ｂが証明情報を取得できる仕組みを提供している。つまり、第１の実施形態によれば、社内のネットワークから営業グループのユーザＩＤとしてＷｅｂブラウザを用いて認証サーバ１０を正常にログインするだけで証明情報を取得できるので利便性を高めることができる。また、認証サーバ１０では社内のネットワークからのアクセスに対して証明情報を付与することによってセキュリティを強固なものにすることができる。なお、認証サーバ１０は、ユーザの端末に付与する証明情報に有効期限（例えば、証明情報を付与した日から７日間有効とする有効期限）を設定していてもよく、有効期限が切れた証明情報を受信した場合には、当該証明情報を無効として処理してもよい。このようにすれば、更にセキュリティを高めることができる。 As described above, the first embodiment provides a mechanism in which the terminal 20-B can acquire the certification information when the terminal 20-B used by the sales department user B is authenticated by the authentication server 10. ing. In other words, according to the first embodiment, the certification information can be acquired only by logging in to the authentication server 10 normally from the in-house network using the Web browser as the user ID of the sales group, so that the convenience can be improved. In addition, the authentication server 10 can strengthen security by giving proof information to access from an in-house network. Note that the authentication server 10 may set an expiration date (for example, an expiration date that is valid for seven days from the date on which the certification information was assigned) in the certification information to be given to the user terminal. When the information is received, the certification information may be processed as invalid. By doing so, security can be further enhanced.

１−３−２−６．その他
第１の実施形態では、認証サーバ１０が認証データベース１１に登録されているユーザ
情報、組織情報、各種フロー等を参照する。また、認証サーバ１０は、端末２０からの要求に応じて、ユーザ情報、組織情報、各種フローの登録処理、更新処理、削除処理を行うようにしてもよい。また、第１の実施形態では、管理者が認証データベースを管理可能であり、管理者からの入力情報に基づいて、ユーザ情報、組織情報、各種フローの参照、登録、変更、削除等を行うことができる。また、管理者からの入力情報に基づいて、フローの変更、追加、削除等も行うことができる。 1-3-2-6. Others In the first embodiment, the authentication server 10 refers to user information, organization information, various flows, and the like registered in the authentication database 11. In addition, the authentication server 10 may perform a registration process, an update process, and a deletion process of user information, organization information, and various flows in response to a request from the terminal 20. Further, in the first embodiment, the administrator can manage the authentication database, and refers to, registers, changes, deletes, etc., user information, organization information, and various flows based on input information from the administrator. Can be. In addition, it is possible to change, add, or delete a flow based on input information from an administrator.

１−３−３．処理の流れ
図７（Ａ）（Ｂ）は、第１の実施形態の認証サーバ１０の処理の流れを示すフローチャートである。まず、認証サーバ１０は、端末２０からユーザＩＤとパスワードを受信する（ステップＳ１００）。 1-3-3. Process Flow FIGS. 7A and 7B are flowcharts showing a process flow of the authentication server 10 of the first embodiment. First, the authentication server 10 receives a user ID and a password from the terminal 20 (Step S100).

次に、受信した端末２０の送信元のＩＰアドレスを確認する（ステップＳ１０１）。例えば、認証サーバ１０は、端末２０から受信したパケット情報から、送信元のＩＰアドレスを検出する。例えば、端末２０−Ａの送信元のＩＰアドレスが「１２２．２００．２４３．２４０」の場合には、図３（Ｂ）に示すように、組織ＩＤ＝１である「○○会社」のネットワークからのアクセスであると判定できる。一方、端末２０−Ａの送信元のＩＰアドレスが認証データベースに登録されていない場合には、会社外（組織外）のネットワークからのアクセス（インターネット上の不特定な端末、不特定なネットワークからのアクセス）であると判定できる。 Next, the source IP address of the received terminal 20 is confirmed (step S101). For example, the authentication server 10 detects the source IP address from the packet information received from the terminal 20. For example, when the IP address of the transmission source of the terminal 20-A is “122.200.243.240”, as shown in FIG. 3B, the network of “XX company” with the organization ID = 1 It can be determined that the access is from. On the other hand, when the source IP address of the terminal 20-A is not registered in the authentication database, access from a network outside the company (outside the organization) (an unspecified terminal on the Internet, an unspecified network from the unspecified network). Access).

そして、端末２０から受信したユーザＩＤとパスワードとが正しいか否かを判断する（ステップＳ１０２）。つまり、端末２０から受信したユーザＩＤとパスワードとが、認証データベース１１に登録されているユーザＩＤと（当該ユーザＩＤに対応する）パスワードと一致するか否かを判断する。 Then, it is determined whether the user ID and the password received from the terminal 20 are correct (step S102). That is, it is determined whether the user ID and the password received from the terminal 20 match the user ID registered in the authentication database 11 and the password (corresponding to the user ID).

端末２０から受信したユーザＩＤとパスワードとが正しい場合、つまり、端末２０から受信したユーザＩＤとパスワードとが、認証データベース１１に登録されているユーザＩＤと（当該ユーザＩＤに対応する）パスワードと一致する場合には（ステップＳ１０２のＹ）、ステップＳ１０３に進む。一方、端末２０から受信したユーザＩＤとパスワードとが正しくない場合、つまり、端末２０から受信したユーザＩＤとパスワードとが、認証データベース１１に登録されているユーザＩＤと（当該ユーザＩＤに対応する）パスワードと一致しない場合には（ステップＳ１０２のＮ）、認証を不許可と判定する（ステップＳ１１３）。 When the user ID and the password received from the terminal 20 are correct, that is, the user ID and the password received from the terminal 20 match the user ID registered in the authentication database 11 and the password (corresponding to the user ID). If yes (Y in step S102), the process proceeds to step S103. On the other hand, when the user ID and the password received from the terminal 20 are incorrect, that is, the user ID and the password received from the terminal 20 are different from the user ID registered in the authentication database 11 (corresponding to the user ID). If the password does not match (N in step S102), it is determined that the authentication is not permitted (step S113).

次に、受信したユーザＩＤのグループＩＤを判定する（ステップＳ１０３）。つまり、図３（Ａ）に示すように、認証データベース１１に登録されたユーザＩＤに対応するグループＩＤを参照してグループＩＤを判定する。例えば、受信したユーザＩＤが「ｕｓｅｒＡ」である場合は、「ｕｓｅｒＡ」のグループＩＤは「１」となる。 Next, the group ID of the received user ID is determined (step S103). That is, as shown in FIG. 3A, the group ID is determined with reference to the group ID corresponding to the user ID registered in the authentication database 11. For example, when the received user ID is “userA”, the group ID of “userA” is “1”.

次に、グループＩＤに基づいてアクセスが成功か否かを判断する（ステップＳ１０４）。図３（Ｃ）に示すように、グループＩＤ毎に、アクセス成功・失敗フローのパターンが設定されているので、グループＩＤに対応するパターンに基づいてアクセス成功又は失敗を判断する。 Next, it is determined whether the access is successful based on the group ID (step S104). As shown in FIG. 3 (C), since an access success / failure flow pattern is set for each group ID, access success or failure is determined based on a pattern corresponding to the group ID.

例えば、図３（Ａ）に示すように「ｕｓｅｒＡ」はグループＩＤが「１」でアクセス成功・失敗フローがＡパターンである。したがって、図４（Ａ）に示すように「ｕｓｅｒＡ」が組織（例えば○○会社）のネットワークからのアクセスである場合には、アクセス成功と判定される（ステップＳ２、ステップＳ１０４のＹ）。一方、「ｕｓｅｒＡ」が組織（例えば○○会社）のネットワーク以外からのアクセスである場合には、アクセス失敗と
判定される（ステップＳ３、ステップＳ１０４のＮ）。 For example, as shown in FIG. 3A, “userA” has a group ID of “1” and an access success / failure flow is an A pattern. Therefore, when “userA” is an access from a network of an organization (for example, company XX) as shown in FIG. 4A, it is determined that the access is successful (Y in step S2 and step S104). On the other hand, if “userA” is an access from a network other than the network of the organization (for example, company XX), it is determined that the access has failed (N in step S3 and step S104).

また、例えば、図３（Ａ）に示すように「ｕｓｅｒＦ」はグループＩＤが「４」でアクセス成功・失敗フローがＢパターンである。したがって、図４（Ｂ）に示すように、「ｕｓｅｒＦ」が組織（例えば○○会社）のネットワークからのアクセスした場合であって、現在時刻が所定の時間帯内（例えば、午後２時）である場合には、アクセス成功と判定される（ステップＳ７、ステップＳ１０４のＹ）。一方、「ｕｓｅｒＦ」が組織（例えば○○会社）のネットワーク以外からのアクセスである場合や、「ｕｓｅｒＦ」が組織（例えば○○会社）のネットワークからアクセスした場合であっても、現在時刻が所定の時間帯以外の時刻（例えば、午後１１時）である場合には、アクセス失敗と判定される（ステップＳ８、ステップＳ１０４のＮ）。 For example, as shown in FIG. 3A, “userF” has a group ID of “4” and an access success / failure flow is a B pattern. Therefore, as shown in FIG. 4B, when “userF” accesses from a network of an organization (for example, company XX), the current time is within a predetermined time zone (for example, 2:00 pm). If there is, the access is determined to be successful (step S7, Y in step S104). On the other hand, even when “userF” is accessed from a network other than the network of the organization (for example, XX company), or when “userF” is accessed from the network of the organization (for example, XX company), the current time is set to the predetermined time. If the time is outside the time zone (for example, 11:00 pm), it is determined that the access has failed (N in step S8 and step S104).

そして、アクセス成功と判定された場合には（ステップＳ１０４のＹ）、ステップＳ１０５に進む。一方、アクセス失敗と判定された場合（ステップＳ１０４のＮ）は、グループＩＤ＝２か否かを判断する（ステップＳ１１４）。つまり、グループが特定のグループ（例えば、第２のグループ）であるか否かを判断する。そして、グループＩＤ＝２である場合には（ステップＳ１１４のＹ）、ステップＳ１０５に進み、グループＩＤ＝２でない場合には（ステップＳ１１４のＮ）、認証を不許可と判定する（ステップＳ１１３）。 When it is determined that the access is successful (Y in step S104), the process proceeds to step S105. On the other hand, when it is determined that the access has failed (N in step S104), it is determined whether or not the group ID = 2 (step S114). That is, it is determined whether or not the group is a specific group (for example, the second group). If the group ID is 2 (Y in step S114), the process proceeds to step S105. If the group ID is not 2 (N in step S114), it is determined that the authentication is not permitted (step S113).

次に、ワンタイムパスワード（ＯＴＰ）を確認するか否かを判断する（ステップＳ１０５）。図３（Ｃ）に示すように、グループＩＤ毎に、ＯＴＰ確認フローのパターンが設定されているので、グループＩＤに対応するフローのパターンに基づいてＯＴＰを確認するか否かを判断する。 Next, it is determined whether or not to confirm the one-time password (OTP) (step S105). As shown in FIG. 3C, since an OTP confirmation flow pattern is set for each group ID, it is determined whether or not to confirm the OTP based on the flow pattern corresponding to the group ID.

例えば、図３（Ａ）に示すように「ｕｓｅｒＡ」はグループＩＤが「１」でＯＴＰ確認フローがＡパターンである。したがって、図５に示すように、「ｕｓｅｒＡ」が組織（例えば○○会社）のネットワークからのアクセスである場合にはＯＴＰの確認が不要と判断され（ステップＳ１１）、ワンタイムパスワードを確認しない（ステップＳ１０５のＮ）。一方、「ｕｓｅｒＡ」が組織（例えば○○会社）のネットワーク以外からのアクセスである場合には、ＯＴＰの確認が必要と判断され（ステップＳ１２）、ワンタイムパスワードを確認する（ステップＳ１０５のＹ）。 For example, as shown in FIG. 3A, “userA” has a group ID of “1” and the OTP confirmation flow is an A pattern. Therefore, as shown in FIG. 5, when “userA” is an access from the network of the organization (for example, XX company), it is determined that the OTP check is unnecessary (step S11), and the one-time password is not checked (step S11). N in step S105). On the other hand, if "userA" is an access from a network other than the network of the organization (for example, company XX), it is determined that the OTP needs to be confirmed (step S12), and the one-time password is confirmed (Y in step S105). .

そして、ワンタイムパスワードを確認する場合には（ステップＳ１０５のＹ）、ワンタイムパスワードを端末に要求し（ステップＳ１０６）、端末から受信したワンタイムパスワードが正しいか否かを判断する（ステップＳ１０７）。つまり、認証サーバ１０で生成されたワンタイムパスワードと端末２０から受信したワンタイムパスワードが一致するか否かを判断する。ワンタイムパスワードが正しい場合、つまり、認証サーバ１０で生成されたワンタイムパスワードと端末２０から受信したワンタイムパスワードが一致する場合、（ステップＳ１０７のＹ）は、ステップＳ１０８に進む。一方、ワンタイムパスワードが正しくない場合、つまり、認証サーバ１０で生成されたワンタイムパスワードと端末２０から受信したワンタイムパスワードが一致しない場合（ステップＳ１０７のＮ）、認証を不許可と判定する（ステップＳ１１３）。 When confirming the one-time password (Y in step S105), the terminal requests the terminal for the one-time password (step S106), and determines whether the one-time password received from the terminal is correct (step S107). . That is, it is determined whether the one-time password generated by the authentication server 10 matches the one-time password received from the terminal 20. If the one-time password is correct, that is, if the one-time password generated by the authentication server 10 matches the one-time password received from the terminal 20 (Y in step S107), the process proceeds to step S108. On the other hand, if the one-time password is incorrect, that is, if the one-time password generated by the authentication server 10 does not match the one-time password received from the terminal 20 (N in step S107), it is determined that the authentication is not permitted (step S107). Step S113).

次に、証明情報を確認するか否かを判断する（ステップＳ１０８）。図３（Ｃ）に示すように、グループＩＤ毎に、証明情報確認フローのパターンが設定されているので、グループＩＤに対応するフローのパターンに基づいて証明情報を確認するか否かを判断する。 Next, it is determined whether to confirm the certification information (step S108). As shown in FIG. 3C, a proof information confirmation flow pattern is set for each group ID, so it is determined whether or not proof information is to be confirmed based on a flow pattern corresponding to the group ID. .

例えば、図３（Ａ）に示すように「ｕｓｅｒＡ」はグループＩＤが「１」で証明情報確認フローがＡパターンである。したがって、図５に示すように、「ｕｓｅｒＡ」が組織（例えば○○会社）のネットワークからのアクセスである場合には証明情報の確認が不要と
判断され（ステップＳ１１）、証明情報を確認しない（ステップＳ１０８のＮ）。一方、「ｕｓｅｒＡ」が組織（例えば○○会社）のネットワーク以外からのアクセスである場合には、証明情報の確認が必要と判断され（ステップＳ１２）、証明情報を確認する（ステップＳ１０８のＹ）。 For example, as shown in FIG. 3A, “userA” has a group ID of “1” and the proof information confirmation flow is an A pattern. Therefore, as shown in FIG. 5, when “userA” is an access from the network of the organization (for example, company XX), it is determined that the confirmation of the certification information is unnecessary (step S11), and the certification information is not confirmed (step S11). N in step S108). On the other hand, if "userA" is an access from a network other than the network of the organization (for example, company XX), it is determined that the certification information needs to be confirmed (step S12), and the certification information is confirmed (Y in step S108). .

そして、証明情報を確認する場合には（ステップＳ１０８のＹ）、端末から受信した証明情報が正しいか否かを判断する（ステップＳ１０９）。つまり、端末２０から受信した証明情報が、予め認証データベース１１に登録されている当該ユーザＩＤに対応する証明情報と一致するか否かを判断する。例えば、ユーザＩＤが「ｕｓｅｒＢ」である端末２０−Ｂから送信された証明情報が「ｒｇ２ｂ９ｉ４ｇ７ｐｘ」である場合には、認証データベース１１に登録されているユーザＩＤ「ｕｓｅｒＢ」に対応する証明情報「ｒｇ２ｂ９ｉ４ｇ７ｐｘ」と一致するので証明情報が正しいと判断される。そして、証明情報が正しい場合（ステップＳ１０９のＹ）は、ステップＳ１１０に進む。一方、証明情報が正しくない場合（ステップＳ１０９のＮ）、認証を不許可と判定する（ステップＳ１１３）。 When confirming the certification information (Y in step S108), it is determined whether the certification information received from the terminal is correct (step S109). That is, it is determined whether the certification information received from the terminal 20 matches the certification information corresponding to the user ID registered in the authentication database 11 in advance. For example, when the certification information transmitted from the terminal 20-B whose user ID is “userB” is “rg2b9i4g7px”, the certification information “rg2b9i4g7px” corresponding to the user ID “userB” registered in the authentication database 11 , It is determined that the certification information is correct. If the certification information is correct (Y in step S109), the process proceeds to step S110. On the other hand, if the certification information is incorrect (N in step S109), it is determined that the authentication is not permitted (step S113).

次に、証明情報を付与するか否かを判断する（ステップＳ１１０）。図３（Ｃ）に示すように、グループＩＤ毎に、証明情報付与フローのパターンが設定されているので、グループＩＤに対応するフローのパターンに基づいて証明情報を付与するか否かを判断する。 Next, it is determined whether or not to provide certification information (step S110). As shown in FIG. 3 (C), since a proof information provision flow pattern is set for each group ID, it is determined whether to provide proof information based on a flow pattern corresponding to the group ID. .

例えば、図３（Ａ）に示すように「ｕｓｅｒＢ」はグループＩＤが「２」で証明情報付与フローがＡパターンである。したがって、図６（Ａ）に示すように、「ｕｓｅｒＢ」が組織（例えば○○会社）のネットワークからのアクセスである場合には証明情報を付与すると判定する（ステップＳ２１、ステップＳ１１０のＹ）。一方、「ｕｓｅｒＢ」が組織（例えば○○会社）のネットワーク以外からのアクセスである場合には、証明情報を付与しないと判定する（ステップＳ２２、ステップＳ１１０のＮ）。 For example, as shown in FIG. 3A, “userB” has a group ID of “2” and the proof information provision flow is an A pattern. Therefore, as shown in FIG. 6A, when “userB” is an access from the network of the organization (for example, company XX), it is determined that the certification information is added (Y in step S21 and step S110). On the other hand, if "userB" is an access from a network other than the network of the organization (for example, company XX), it is determined that the certification information is not added (N in step S22 and step S110).

また、例えば、図３（Ａ）に示すように「ｕｓｅｒＡ」はグループＩＤが「１」で証明情報付与フローがＢパターンである。したがって、図６（Ｂ）に示すように、「ｕｓｅｒＡ」が○○会社の社内のネットワークからのアクセスか否かにかかわらず、証明情報を付与しないと判定する（ステップＳ２３、ステップＳ１１０のＮ）。 For example, as shown in FIG. 3A, “userA” has a group ID of “1” and the proof information provision flow is a B pattern. Therefore, as shown in FIG. 6B, it is determined that the certification information is not added irrespective of whether “userA” is accessed from the company network of the company XX (step S23, N in step S110). .

そして、証明情報を付与する場合には（ステップＳ１１０のＹ）、端末２０に証明情報を送信する（ステップＳ１１１）。そして、ステップＳ１１１、又は、ステップＳ１１０のＮの後、認証を許可と判定する（ステップＳ１１２）。以上で処理が終了する。 Then, when the proof information is given (Y in step S110), the proof information is transmitted to the terminal 20 (step S111). Then, after N of step S111 or step S110, it is determined that the authentication is permitted (step S112). Thus, the process ends.

１−３−４．ＳＳＬクライアント証明書を利用する例
第１の実施形態の認証サーバ１０は、証明情報を要求する端末に対して、証明情報の照合に追加して（又は証明情報の照合の替わりに）、端末から送信されるＳＳＬ（ＳｅｃｕｒｅＳｏｃｋｅｔＬａｙｅｒ）クライアント証明書を用いた認証を行うようにしてもよい。かかる認証を行う場合には、端末２０のＷｅｂブラウザに予めＳＳＬクライアント証明書が設定される。 1-3-4. Example of Using SSL Client Certificate The authentication server 10 according to the first embodiment adds, to a terminal that requests proof information, verification information collation (or instead of verification information collation), and Authentication may be performed using the transmitted SSL (Secure Socket Layer) client certificate. When performing such authentication, an SSL client certificate is set in the Web browser of the terminal 20 in advance.

例えば、端末２０は認証サーバ１０にＨＴＴＰＳ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌｏｖｅｒＳｅｃｕｒｅＳｏｃｋｅｔＬａｙｅｒ）接続を行い、認証サーバ１０は端末２０にＳＳＬクライアント証明書を要求する。そして、端末２０は、ＳＳＬクライアント証明書を認証サーバ１０に送信する。そして、認証サーバ１０は、署名されたＳＳＬクライアント証明書を解読しクライアント（端末２０）の公開鍵を取得する。端末２０は、送付メッセージにダイジェストを付加し、端末２０の持つ秘密鍵で暗号化する。そして、認証サーバ１０は、端末２０の公開鍵を使ってメッセージを解読し、解読したメッセージからメッセージ・ダイジェストを作成し、端末２０が付加した
メッセージ・ダイジェストと比較する。一致が確認された場合には、信頼できる端末２０から改ざんされていないメッセージを受信することになり、認証許可と判定する。 For example, the terminal 20 makes an HTTPS (Hypertext Transfer Protocol over Secure Socket Layer) connection to the authentication server 10, and the authentication server 10 requests the terminal 20 for an SSL client certificate. Then, the terminal 20 transmits the SSL client certificate to the authentication server 10. Then, the authentication server 10 decrypts the signed SSL client certificate and obtains the public key of the client (terminal 20). The terminal 20 adds the digest to the transmission message and encrypts it with the secret key of the terminal 20. Then, the authentication server 10 decrypts the message using the public key of the terminal 20, creates a message digest from the decrypted message, and compares the message digest with the message digest added by the terminal 20. If a match is confirmed, an unaltered message is received from the trusted terminal 20, and it is determined that authentication is permitted.

１−３−５．特別なＷｅｂブラウザを利用する例
第１の実施形態では、端末２０にファイルのダウンロードが禁止されているＷｅｂブラウザ５０を設定し、Ｗｅｂブラウザ５０に予め証明情報がクッキーとして設定されている場合に、証明情報を認証サーバ１０に送信するようにしてもよい。このようにすれば、ファイルのダウンロードが禁止されている特別なＷｅｂブラウザ５０を使用するように促すことができる。また、ファイルのダウンロードが禁止されている特別なＷｅｂブラウザ５０の利用促進を図ることによって、ファイルのダウンロードを防止することができ、更にセキュリティを高めることができる。 1-3-5. Example of Using Special Web Browser In the first embodiment, when a Web browser 50 for which file download is prohibited is set in the terminal 20 and certificate information is set in advance in the Web browser 50 as a cookie, The certification information may be transmitted to the authentication server 10. By doing so, it is possible to urge the user to use a special Web browser 50 in which file download is prohibited. Further, by promoting the use of the special Web browser 50 in which file download is prohibited, file download can be prevented, and security can be further enhanced.

例えば、図１に示すように、ｕｓｅｒＤの私物の端末２０−Ｈ（例えば、スマートフォンやパーソナルコンピュータ）に、ファイルのダウンロードが禁止された特別なＷｅｂブラウザ５０がインストールされているとする。そして、Ｗｅｂブラウザ５０に予め証明情報を設定する（Ｗｅｂブラウザのクッキーとして証明情報を設定する）。なお、管理者からの入力に基づき、端末２０−ＨのＷｅｂブラウザに証明情報を設定するようにしてもよい。 For example, as shown in FIG. 1, it is assumed that a special Web browser 50 for which file download is prohibited is installed in a personal terminal 20-H (for example, a smartphone or a personal computer) of userD. Then, the certification information is set in the Web browser 50 in advance (the certification information is set as a cookie of the Web browser). Note that the certification information may be set in the Web browser of the terminal 20-H based on the input from the administrator.

すると、ｕｓｅｒＤは、社外のネットワークであっても私物の端末２０−Ｈから、認証サーバ１０への認証が許可され、メールサーバ３１等のサービス提供サーバへのログインが可能となり、より利便性の高いネットワークシステムを実現できる。また、証明情報は、通常のＷｅｂブラウザに設定できずに特殊なＷｅｂブラウザ５０にのみ設定できるようにすることで、私物の端末２０−Ｈに対してもセキュリティの管理を行うことができる。 Then, the userD is permitted to authenticate to the authentication server 10 from the private terminal 20-H even in a network outside the company, and can log in to the service providing server such as the mail server 31, which is more convenient. A network system can be realized. In addition, by enabling the certification information to be set only in the special Web browser 50 without being set in the normal Web browser, security management can be performed even for the private terminal 20-H.

１−３−６．その他
第１の実施形態では、ユーザＩＤ・パスワード以外の多要素認証の例として、証明情報、ＯＴＰの照合、ＳＳＬクライアント証明書等を用いた認証を説明したが、他の多要素認証を行うようにしてもよい。 1-3-6. Others In the first embodiment, as an example of the multi-factor authentication other than the user ID and the password, the authentication using the certification information, the OTP collation, the SSL client certificate, and the like have been described. It may be.

また、第１の実施形態では、ユーザＩＤ・パスワード判定処理の例として、認証サーバが、予め認証データベースに格納されているパスワードを用いて判定する処理を説明したが、認証データベースにパスワードを格納しないで、他のシステムにユーザＩＤ・パスワード判定処理を委任するようにしてもよい。 Further, in the first embodiment, as an example of the user ID / password determination process, the authentication server determines the process using the password stored in the authentication database in advance, but does not store the password in the authentication database. Thus, the user ID / password determination process may be delegated to another system.

２．第２の実施形態
以下、第２の実施形態について説明する。なお、以下に説明する第２の実施形態は、特許請求の範囲に記載された本発明の内容を不当に限定するものではない。また第２の実施形態で説明される構成の全てが、本発明の必須構成要件であるとは限らない。 2. Second Embodiment Hereinafter, a second embodiment will be described. The second embodiment described below does not unduly limit the contents of the present invention described in the claims. Further, all of the configurations described in the second embodiment are not necessarily essential components of the invention.

２−１．ネットワーク
図８は、第２の実施形態のネットワーク図の一例である。第２の実施形態の認証サーバ１０（ＩＤプロバイダ）は、ユーザの端末２０から送信される情報（データ）に基づいて、ユーザの認証を行う。 2-1. Network FIG. 8 is an example of a network diagram according to the second embodiment. The authentication server 10 (ID provider) of the second embodiment authenticates a user based on information (data) transmitted from the user terminal 20.

認証サーバ１０は、ネットワークを介して、複数の端末２０と接続される。例えば、第２の実施形態の認証サーバ１０は、インターネットを介して、会社や学校などの小規模ネットワーク３０を構成する各端末２０−Ａ、２０−Ｂ（第１の端末の一例）と接続されている。また、認証サーバ１０は、インターネットを介して、ｕｓｅｒＡの携帯用の端末２０−Ｃ（第２の端末の一例、例えば、スマートフォン）、ｕｓｅｒＢの携帯用の端末２０
−Ｄ（第２の端末の一例、例えば、スマートフォン）と接続可能である。なお、第２の実施形態の端末２０は有線又は無線によって認証サーバ１０と接続される。 The authentication server 10 is connected to a plurality of terminals 20 via a network. For example, the authentication server 10 of the second embodiment is connected to the terminals 20-A and 20-B (an example of a first terminal) configuring the small-scale network 30 such as a company or a school via the Internet. ing. In addition, the authentication server 10 communicates with the portable terminal 20-C of userA (an example of a second terminal, for example, a smartphone) and the portable terminal 20 of userB via the Internet.
-D (an example of a second terminal, for example, a smartphone) is connectable. The terminal 20 according to the second embodiment is connected to the authentication server 10 by wire or wirelessly.

２−２．構成
図９は、第２の実施形態の認証システムの機能ブロック図の一例である。なお、第２の実施形態の認証システムは、図９の各部を全て含む必要はなく、その一部を省略した構成としてもよい。 2-2. Configuration FIG. 9 is an example of a functional block diagram of the authentication system according to the second embodiment. Note that the authentication system according to the second embodiment does not need to include all the units in FIG. 9 and may have a configuration in which some of them are omitted.

また、情報記憶媒体１８０は、コンピュータにより読み取り可能であり、この情報記憶媒体１８０にはプログラムやデータなどが格納されている。即ち、情報記憶媒体１８０には、第２の実施形態の各部としてコンピュータを機能させるためのプログラム（各部の処理をコンピュータに実行させるためのプログラム）が記憶される。つまり、処理部１００は、この情報記憶媒体１８０に格納されるプログラム（データ）から読み出されたデータに基づいて第２の実施形態の種々の処理を行うことができる。 The information storage medium 180 can be read by a computer, and the information storage medium 180 stores programs, data, and the like. That is, the information storage medium 180 stores a program for causing a computer to function as each unit of the second embodiment (a program for causing a computer to execute processing of each unit). That is, the processing unit 100 can perform various processes of the second embodiment based on data read from the program (data) stored in the information storage medium 180.

処理部１００は、記憶部１７０に格納されるプログラム（データ）に基づいて第２の実施形態の種々の処理を行う。なお、第２の実施形態の処理部１００が、情報記憶媒体１８０に格納されているプログラムやデータを読み出し、読み出したプログラムやデータを記憶部１７０に格納し、そのプログラムやデータに基づいて処理を行ってもよい。 The processing unit 100 performs various processes of the second embodiment based on a program (data) stored in the storage unit 170. Note that the processing unit 100 according to the second embodiment reads out programs and data stored in the information storage medium 180, stores the read out programs and data in the storage unit 170, and performs processing based on the programs and data. May go.

処理部１００は、通信制御部１１１、画像コード情報送信処理部１１６、登録処理部１１８、認証判定部１１４を含む。 The processing unit 100 includes a communication control unit 111, an image code information transmission processing unit 116, a registration processing unit 118, and an authentication determination unit 114.

画像コード情報送信処理部１１６は、第１の端末から画像コード送信要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤとパスワードの正当性に関する第１の条件、及び前記第１の端末の送信元のアドレス情報の正当性に関する第２の条件を判断し、前記第１の条件及び前記第２の条件を満たしている場合に認証情報を生成し、当該認証情報を画像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する。 When receiving the image code transmission request from the first terminal, the image code information transmission processing unit 116 performs a first condition on the validity of the user ID and the password received together with the image code transmission request, To determine a second condition relating to the validity of the address information of the transmission source, to generate authentication information when the first condition and the second condition are satisfied, and to display the authentication information as an image code. Is transmitted to the first terminal of the image code transmission request source.

また登録処理部１１８は、第２の端末から認証用端末識別情報の登録要求を受信すると、前記登録要求とともに受信したユーザＩＤとパスワードの正当性に関する第１の条件、及び前記登録要求とともに受信した認証用の画像コードの情報の正当性に関する第３の条件を判断し、前記第１の条件及び前記第３の条件を満たしている場合に、登録要件を満たしていると判断し、前記第２の端末から受信した認証用端末識別情報を認証データベースに登録する処理を行う。 Further, upon receiving the registration request for the terminal identification information for authentication from the second terminal, the registration processing unit 118 receives the first condition regarding the validity of the user ID and the password received together with the registration request and the registration request. The third condition regarding the validity of the information of the image code for authentication is determined, and when the first condition and the third condition are satisfied, it is determined that the registration requirement is satisfied, and the second condition is determined. Registering the authentication terminal identification information received from the terminal in the authentication database.

認証判定部１１４は、前記第２の端末から所与の処理要求を受信すると、前記所与の処理要求とともに受信したユーザIＤとパスワードの正当性に関する第１の条件、及び前記
処理要求とともに受信した認証用端末識別情報の正当性に関する第４の条件、及び前記処理要求とともに受信した認証用の画像コードの情報の正当性に関する第３の条件を判断し、前記第１の条件、前記第４の条件、及び前記第３の条件を満たしている場合に、処理要件を満たしていると判断し、前記所与の処理要求を許可する。 Upon receiving a given processing request from the second terminal, the authentication determination unit 114 receives the first condition regarding the validity of the user ID and the password received with the given processing request, and receives the first processing request with the processing request. A fourth condition relating to the validity of the authentication terminal identification information and a third condition relating to the validity of the information of the authentication image code received together with the processing request are determined, and the first condition and the fourth condition are determined. When the condition and the third condition are satisfied, it is determined that the processing requirement is satisfied, and the given processing request is permitted.

また画像コード情報送信処理部１１６は、前記画像コード送信要求に対応して第１の鍵情報を含む認証情報を生成し、認証情報に基づき前記画像コード情報を生成するとともに、前記第１の鍵情報を送信済み第１の鍵情報として記憶部に保管してもよい。 The image code information transmission processing unit 116 generates authentication information including first key information in response to the image code transmission request, generates the image code information based on the authentication information, and The information may be stored in the storage unit as transmitted first key information.

また登録処理部１１８は、前記登録要求とともに受信した認証用の画像コードの情報に含まれる前記第１の鍵情報が前記送信済み第１の鍵情報と一致するか否か判断し、一致するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 The registration processing unit 118 determines whether or not the first key information included in the information of the authentication image code received with the registration request matches the transmitted first key information. It may be determined that the third condition is satisfied on the condition that.

また認証判定部１１４は、前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれる前記第１の鍵情報が前記送信済み第１の鍵情報と一致するか否か判断し、一致するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 Further, the authentication determination unit 114 determines whether the first key information included in the information on the authentication image code received with the given processing request matches the transmitted first key information, It may be determined that the third condition is satisfied on condition that they match.

また画像コード情報送信処理部１１６は、前記画像コード送信要求とともに受信したユーザＩＤに対応したユーザ特定情報を含む認証情報を生成してもよい。 Further, the image code information transmission processing unit 116 may generate authentication information including user identification information corresponding to the user ID received together with the image code transmission request.

また登録処理部１１８は、前記登録要求とともに受信した認証用の画像コードの情報に含まれるユーザ特定情報が、受信したユーザＩＤに対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 Further, the registration processing unit 118 determines whether or not the user identification information included in the authentication image code information received with the registration request corresponds to the received user ID, and corresponds to the received user ID. , It may be determined that the third condition is satisfied.

また認証判定部１１４は、前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれるユーザ特定情報が、受信したユーザＩＤに対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 The authentication determination unit 114 determines whether the user identification information included in the authentication image code information received with the given processing request corresponds to the received user ID. It may be determined that the third condition is satisfied on the condition that.

また画像コード情報送信処理部１１６は、認証サーバに対応付けられた第２の鍵に基づく電子認証情報を含む認証情報を生成してもよい。 Further, the image code information transmission processing unit 116 may generate authentication information including electronic authentication information based on the second key associated with the authentication server.

また登録処理部１１８は、前記登録要求とともに受信した認証用の画像コードの情報
に含まれる第２の鍵に基づく電子認証情報が、前記認証サーバに対応付けられた第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 Further, the registration processing unit 118 may be configured so that the electronic authentication information based on the second key included in the authentication image code information received together with the registration request corresponds to the second key associated with the authentication server. It may be determined whether or not the above condition is satisfied, and it is determined that the third condition is satisfied on the condition that the corresponding condition is satisfied.

また認証判定部１１４は、前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれる第２の鍵に基づく電子認証情報が、前記認証サーバに対応付けられた第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、前記第３の条件を満たしていると判断してもよい。 Further, the authentication determining unit 114 converts the electronic authentication information based on the second key included in the information of the authentication image code received with the given processing request into a second key associated with the authentication server. It may be determined whether or not they correspond, and on the condition that they correspond, it may be determined that the third condition is satisfied.

認証判定部１１４は、端末からの所与の処理要求（例えばファイルやメールの閲覧要求）の許可又は不許可を判定する。まず受信したユーザＩＤとパスワードとが正当であるか（例えば予め認証データベースに登録されているユーザＩＤとパスワードと一致するか否か）の第１の条件を判断し、正当であると判断した場合には、送信元のアドレス情報が、所定のアドレスであるか（例えば組織のネットワークのゲートウェイのＩＰアドレスであるか）の第３の条件、又は所与の処理要求とともに受信した認証用端末識別情報が、前記認証データベースに登録されている認証用端末識別情報と一致するか否かの第４の条件を判断し、第１の条件及び第３の条件を満たしている場合、又は第１の条件及び第４の条件を満たしている場合には、所与の処理要求を許可してもよい。 The authentication determination unit 114 determines permission or non-permission of a given processing request (for example, a file or mail browsing request) from the terminal. First, the first condition for determining whether the received user ID and password are valid (for example, whether the received user ID and password match the user ID and password registered in the authentication database in advance) is determined. Includes a third condition that the address information of the transmission source is a predetermined address (for example, an IP address of a gateway of an organization network), or authentication terminal identification information received together with a given processing request. Judge the fourth condition whether or not it matches the authentication terminal identification information registered in the authentication database, and when the first condition and the third condition are satisfied, or when the first condition If the fourth condition is satisfied, a given processing request may be permitted.

認証判定部１１４は、所与の処理要求（例えばファイルやメールの閲覧要求）が正統であるか否か判断する。認証判定部１１４は、受信したユーザＩＤとパスワードとが正当であるかの第１の条件、及び前記第２の端末から受信した認証用端末識別情報が、前記認証データベースに登録されている認証用端末識別情報と一致するか否かの第４の条件を判断し、第１の条件及び第４の条件を満たしている場合に、所与の処理要求（例えばファイルやメールの閲覧要求）が正統なユーザの正当な端末からのものであると判断し、所与の処理要求を許可してもよい。 The authentication determination unit 114 determines whether a given processing request (for example, a file or mail browsing request) is legitimate. The authentication determination unit 114 is configured to determine whether the received user ID and password are valid as the first condition and the terminal identification information for authentication received from the second terminal for the authentication registered in the authentication database. A fourth condition of whether or not it matches the terminal identification information is determined. If the first condition and the fourth condition are satisfied, a given processing request (for example, a file or mail browsing request) is legitimate. It may be determined that the request is from a legitimate terminal of an appropriate user, and a given processing request may be permitted.

認証サーバ１０は、認証データベース１１を含む。認証データベース１１には、ユーザＩＤ、パスワード、アドレス情報、証明情報、認証用端末識別情報などの情報が登録（格納、記憶）される。第２の実施形態では、管理者からの入力情報に基づいて、予め情報を認証データベース１１に登録してもよい。また、管理者からの入力情報に基づいて、情報の更新処理、情報の削除処理を行うようにしてもよい。また、第２の実施形態では、認証サーバ１０が、登録処理を行ってもよい。例えば、認証サーバ１０は、端末２０からの登録要求に基づいてユーザＩＤ、パスワード、認証用端末識別情報等を登録してもよい。ま
た、第２の実施形態では、認証サーバ１０が、更新処理を行ってもよい。例えば、認証サーバ１０は、端末２０からの更新要求に基づいてユーザＩＤ、パスワード等を更新してもよい。また、第２の実施形態では、認証サーバ１０が削除処理を行ってもよい。例えば、認証サーバ１０は、端末２０からの削除要求に基づいてユーザＩＤ、パスワード等を削除してもよい。なお、第２の実施形態では認証データベース１１の記憶部（記憶領域）が認証サーバ１０の記憶部１７０（記憶領域）から物理的に分離されているが、認証サーバ１０の記憶部１７０に、認証データベース１１のデータを記憶させるようにしてもよい。 The authentication server 10 includes an authentication database 11. Information such as a user ID, a password, address information, certification information, and terminal identification information for authentication is registered (stored and stored) in the authentication database 11. In the second embodiment, information may be registered in the authentication database 11 in advance based on input information from an administrator. Further, information update processing and information deletion processing may be performed based on input information from an administrator. In the second embodiment, the authentication server 10 may perform a registration process. For example, the authentication server 10 may register a user ID, a password, authentication terminal identification information, and the like based on a registration request from the terminal 20. In the second embodiment, the authentication server 10 may perform an update process. For example, the authentication server 10 may update the user ID, the password, and the like based on an update request from the terminal 20. In the second embodiment, the authentication server 10 may perform a deletion process. For example, the authentication server 10 may delete the user ID, the password, and the like based on a deletion request from the terminal 20. In the second embodiment, the storage unit (storage area) of the authentication database 11 is physically separated from the storage unit 170 (storage area) of the authentication server 10. The data of the database 11 may be stored.

また、第２の実施形態の処理部１００は、Ｗｅｂサーバとして機能するＷｅｂ処理部（図示せず）を含んでいてもよい。例えば、Ｗｅｂ処理部は、ＨＴＴＰ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）を通じて、端末２０にインストールされているＷｅｂブラウザ２１０の要求に応じてデータを送信する処理、端末２０のＷｅｂブラウザ２１０によって送信されるデータを受信する処理を行う。特に、第２の実施形態では、Ｗｅｂ処理部が、ユーザ認証を行うためのログイン画面を提供し、端末２０のＷｅｂブラウザ２１０によって送信されたユーザＩＤ、パスワード等のユーザ情報を受信する処理を行うようにしてもよい。 Further, the processing unit 100 according to the second embodiment may include a Web processing unit (not shown) functioning as a Web server. For example, the Web processing unit transmits data in response to a request from the Web browser 210 installed in the terminal 20 through HTTP (Hypertext Transfer Protocol), and receives data transmitted by the Web browser 210 of the terminal 20. Perform processing. In particular, in the second embodiment, the Web processing unit provides a login screen for performing user authentication, and performs processing for receiving user information such as a user ID and a password transmitted by the Web browser 210 of the terminal 20. You may do so.

第１の端末２０は、コンピュータ、スマートフォン、タブレット型コンピュータ、携帯電話、ゲーム機などである。 The first terminal 20 is a computer, a smartphone, a tablet computer, a mobile phone, a game machine, or the like.

また、情報記憶媒体２８０は、コンピュータにより読み取り可能であり、この情報記憶媒体２８０にはプログラムやデータなどが格納されている。即ち、情報記憶媒体２８０には、第２の実施形態の各部としてコンピュータを機能させるためのプログラム（各部の処理をコンピュータに実行させるためのプログラム）が記憶される。つまり、処理部２００は、この情報記憶媒体２８０に格納されるプログラム（データ）から読み出されたデータに基づいて第２の実施形態の種々の処理を行うことができる。 The information storage medium 280 can be read by a computer, and the information storage medium 280 stores programs and data. That is, the information storage medium 280 stores a program for causing a computer to function as each unit of the second embodiment (a program for causing a computer to execute processing of each unit). That is, the processing unit 200 can perform various processes of the second embodiment based on data read from the program (data) stored in the information storage medium 280.

処理部２００は、記憶部２７０に格納されるプログラム（データ）に基づいて第２の実施形態の種々の処理を行う。なお、第２の実施形態の処理部２００が、情報記憶媒体２８０に格納されているプログラムやデータを読み出し、読み出したプログラムやデータを記憶部２７０に格納し、そのプログラムやデータに基づいて処理を行ってもよい。 The processing unit 200 performs various processes of the second embodiment based on a program (data) stored in the storage unit 270. Note that the processing unit 200 according to the second embodiment reads a program or data stored in the information storage medium 280, stores the read program or data in the storage unit 270, and performs processing based on the program or data. May go.

処理部２００は、Ｗｅｂブラウザ２１０、通信制御部２１１を含む。端末２０は、Ｗｅｂブラウザ２１０によって、インターネットを介してＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）によって指定されたＷｅｂサーバからの情報を表示させることができる。例えば、端末２０は、認証サーバ１０において認証が許可されると、Ｗｅｂサーバ機能を備えたメールサーバ３１からの端末２０のユーザＩＤのメール情報（ユーザの受信メール、送信されたメール等）を表示させることができる。 The processing unit 200 includes a Web browser 210 and a communication control unit 211. The terminal 20 can cause the Web browser 210 to display information from a Web server specified by a URL (Uniform Resource Locator) via the Internet. For example, when the authentication is permitted in the authentication server 10, the terminal 20 displays mail information (user's received mail, transmitted mail, etc.) of the user ID of the terminal 20 from the mail server 31 having the Web server function. Can be done.

入力部２２０は、ユーザ（操作者）からの入力情報を入力するための入力機器（コントローラ）であり、ユーザの入力情報を処理部２００に出力する。第２の実施形態の入力部２２０は、ユーザの入力情報（入力信号）を検出する検出部を備えていてもよい。例えば、入力部２２０は、キーボードの入力情報を検出し、タッチパネル型ディスプレイの接触位置（タッチ位置）を検出する。 The input unit 220 is an input device (controller) for inputting input information from a user (operator), and outputs user input information to the processing unit 200. The input unit 220 of the second embodiment may include a detection unit that detects user input information (input signal). For example, the input unit 220 detects input information of the keyboard and detects a contact position (touch position) of the touch panel display.

Ｗｅｂブラウザ２１０、通信制御部２１１は、受け付けたユーザＩＤとパスワードとともに前記認証サーバに画像コード送信要求を送信する画像コード送信要求手段として機能する。 The Web browser 210 and the communication control unit 211 function as an image code transmission request unit that transmits an image code transmission request to the authentication server together with the accepted user ID and password.

Ｗｅｂブラウザ２１０、表示部２９０は、前記画像コード送信要求に対応して前記認証サーバが送信した画像コード情報を受信して、当該画像コード情報に基づき画像コードを表示部に表示する画像コード表示処理手段として機能する。 The web browser 210 and the display unit 290 receive image code information transmitted by the authentication server in response to the image code transmission request, and display an image code on the display unit based on the image code information. Functions as a means.

第２の端末２０は、コンピュータ、スマートフォン、タブレット型コンピュータ、携帯電話、ゲーム機などである。第１の端末と同じ構成については同じ番号を付しており、説明を省略する。 The second terminal 20 is a computer, a smartphone, a tablet computer, a mobile phone, a game machine, or the like. The same components as those of the first terminal are denoted by the same reference numerals, and description thereof is omitted.

第２の端末は撮影部２５０を含み、前記画像コードを撮影する撮影手段として機能する。 The second terminal includes a photographing unit 250 and functions as photographing means for photographing the image code.

また第２の端末には、専用のＷｅｂブラウザアプリケーションがインストールされており、通常のＷｅｂブラウザとしての機能が制限された専用Ｗｅｂブラウザ２１０’として機能する。 In addition, a dedicated Web browser application is installed in the second terminal, and functions as a dedicated Web browser 210 'in which the function as a normal Web browser is restricted.

専用Ｗｅｂブラウザ２１０’は、ファイルのダウンロードが禁止されているＷｅｂブラウザであってもよい。またファイル閲覧後にファイルの削除等をおこなってもよい。また閲覧中のファイルの更新、コピー等が禁止されているＷｅｂブラウザであってもよい。 The dedicated Web browser 210 'may be a Web browser for which file download is prohibited. After the file is browsed, the file may be deleted. Further, a Web browser in which updating, copying, and the like of a file being browsed may be prohibited.

専用Ｗｅｂブラウザ２１０’、通信制御部２１１は、撮影された画像コード又は当該画像コードを解読して取得した認証情報と、自機の認証用端末識別情報と、受け付けたユーザＩＤとパスワードとともに、前記認証用端末識別情報の登録要求を前記認証サーバに送
信する登録要求手段として機能する。 The dedicated Web browser 210 ′ and the communication control unit 211, together with the captured image code or the authentication information obtained by decoding the image code, the terminal identification information for authentication of the own device, the received user ID and the password, It functions as registration request means for transmitting a registration request for authentication terminal identification information to the authentication server.

専用Ｗｅｂブラウザ２１０’は、第２の端末の認証用端末識別情報の生成、保管、及び画像コードのデコード、認証用端末識別情報の登録要求等を行ってもよい。 The dedicated Web browser 210 'may generate and store authentication terminal identification information of the second terminal, decode an image code, and request registration of authentication terminal identification information.

２−３．第２の実施形態の処理
２−３−１．処理の概要
第２の実施形態では、ユーザＡがスマートフォン（第２の端末の一例）を用いて、種々のサービス提供サーバ（例えば図８の３１、３２、３３、３４）にアクセスするためのスマートフォンの認証用端末識別情報を認証サーバに登録する例について説明する。ユーザＡは組織のネットワークに接続された第１の端末（例えば図８の２０−Ａ）に、ログインして、認証サーバに対し、画像コード送信要求を行う。画像コード送信要求を受信した認証サーバ１０は、要求の正当性を判定し、正当であると判定した場合には、認証情報を生成し、認証情報を画像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する。 2-3. Process 2-3-1 of second embodiment. Overview of Process In the second embodiment, a smartphone that allows user A to access various service providing servers (for example, 31, 32, 33, and 34 in FIG. 8) using a smartphone (an example of a second terminal) An example of registering the authentication terminal identification information in the authentication server will be described. The user A logs in to a first terminal (for example, 20-A in FIG. 8) connected to the network of the organization, and makes an image code transmission request to the authentication server. Upon receiving the image code transmission request, the authentication server 10 determines the validity of the request. If the request is determined to be valid, the authentication server 10 generates authentication information and outputs image code information for displaying the authentication information as an image code. The image code is transmitted to the first terminal requesting the transmission of the image code.

画像コード情報を受信した第１の端末（例えば図８の２０−Ａ）は表示部に画像コード（図８の９０）を表示する。ユーザＡは、第１の端末の表示部に表示された画像コード（図８の９０）を、第２端末（例えば図８の２０−Ｃ）で撮影して、画像コードを取得する。そして認証用の画像コードの情報と自機の認証用端末識別情報とともに認証サーバに対し認証用端末識別情報の登録要求を送信する。 The first terminal that has received the image code information (for example, 20-A in FIG. 8) displays the image code (90 in FIG. 8) on the display unit. The user A captures the image code (90 in FIG. 8) displayed on the display unit of the first terminal with the second terminal (for example, 20-C in FIG. 8) and acquires the image code. Then, a request for registration of the authentication terminal identification information is transmitted to the authentication server together with the authentication image code information and the authentication terminal identification information of the own device.

登録要求を受信した認証サーバは、登録要求の正当性を判定し、正当であると判定した場合には、第２の端末の認証用端末識別情報を認証サーバに登録する。 The authentication server that has received the registration request determines the validity of the registration request, and if determined to be valid, registers the authentication terminal identification information of the second terminal in the authentication server.

第２の端末の認証用端末識別情報が認証サーバに登録されると、ユーザＡは当該第２の端末を用いて種々のサービス提供サーバ（例えば図８の３１、３２、３３、３４）にアクセスすることができるようになる。 When the authentication terminal identification information of the second terminal is registered in the authentication server, the user A accesses various service providing servers (for example, 31, 32, 33, and 34 in FIG. 8) using the second terminal. Will be able to

このように組織のネットワークに接続された端末にアクセスできるユーザしか取得することできない画像コード情報を用いて、第２の端末の認証用端末識別情報を認証サーバに登録することができる。したがって、簡単なユーザインターフェースで、組織外のネットワークからのアクセスを許可する特定された端末の正当性を確保することができる。 As described above, the terminal identification information for authentication of the second terminal can be registered in the authentication server using the image code information that can be obtained only by the user who can access the terminal connected to the organization network. Therefore, the legitimacy of the specified terminal permitted to access from a network outside the organization can be secured with a simple user interface.

なお画像コード情報送信要求を行ったユーザと登録要求を行うユーザの同一性を認証用端末識別情報の登録要件とする場合には、ユーザＢが、ユーザＡに対して送信された画像コードを自分のスマートフォン（例えば図８の端末２０−Ｄ）で撮影し、認証用端末識別情報の登録要求を送信しても、自機のスマートフォンの認証用端末識別情報の登録は許可されない。 If the identity of the user who has made the image code information transmission request and the user who has made the registration request are to be the registration requirements for the authentication terminal identification information, the user B transmits the image code transmitted to the user A to himself / herself. However, even if an image is captured by a smartphone (for example, the terminal 20-D in FIG. 8) and a registration request for authentication terminal identification information is transmitted, registration of the authentication terminal identification information of the own smartphone is not permitted.

また送信した画像コードに対して１つの認証用端末識別情報の登録を許可する場合には、ユーザＡが端末２０−Ｃで画像コードを撮影して登録要求を行い、その後にユーザＡが端末２０−Ｄで画像コードを撮影して登録要求をおこなった場合、最先の登録要求にかかる端末２０−Ｃのみの登録を許可するようにしてもよい。 To permit registration of one piece of authentication terminal identification information with respect to the transmitted image code, the user A makes a registration request by photographing the image code with the terminal 20-C, and then the user A When a registration request is made by photographing an image code at -D, registration of only the terminal 20-C corresponding to the earliest registration request may be permitted.

２．３．２認証データベース
図１０（Ａ）は、認証データベース１１に登録されているユーザ認証情報の一例である。ユーザ認証情報３００は、ユーザＩＤ（ユーザ識別情報、ユーザ名）３１０、パスワード３２０を含む。また認証用端末識別情報３３０を含んでいてもよく、認証用端末識別情報３３０が登録されていない場合には、ＮＵＬＬを設定してもよい。また、パスワード３
２０、認証用端末識別情報３３０は、ユーザＩＤ３１０に対応付けて登録されてもよい。 2.3.2 Authentication Database FIG. 10A is an example of user authentication information registered in the authentication database 11. The user authentication information 300 includes a user ID (user identification information, user name) 310 and a password 320. Further, the authentication terminal identification information 330 may be included. If the authentication terminal identification information 330 is not registered, NULL may be set. Also, password 3
20, the authentication terminal identification information 330 may be registered in association with the user ID 310.

なおユーザと認証用端末識別情報３３０とを紐づけない場合には、認証用端末識別情報をユーザＩＤに紐づけずに登録してもよい。 When the user and the authentication terminal identification information 330 are not linked, the authentication terminal identification information may be registered without being linked to the user ID.

図１０（Ｂ）は、認証データベース１１に登録されているアドレス認証情報の一例である。アドレス認証情報３５０は、組織ＩＤ（組織識別情報）３６０、組織名３７０、その組織のネットワークのＩＰアドレス（ネットワークのゲートウェイのＩＰアドレス）３８０を含む。つまり、組織ＩＤに対応づけて、組織名、組織のネットワークのＩＰアドレスが登録されてもよい。 FIG. 10B is an example of the address authentication information registered in the authentication database 11. The address authentication information 350 includes an organization ID (organization identification information) 360, an organization name 370, and an IP address of a network of the organization (an IP address of a gateway of the network) 380. That is, the organization name and the IP address of the network of the organization may be registered in association with the organization ID.

図１１は、認証データベースに記憶されている管理情報の一例である。管理情報４００は画像コード情報の送信に関連して、送信した画像コード情報に対応する登録要求の認証の際に必要な情報等を含む。 FIG. 11 is an example of management information stored in the authentication database. The management information 400 includes information necessary for authentication of a registration request corresponding to the transmitted image code information in connection with transmission of the image code information.

第１の鍵情報を含む画像コード情報が送信された場合には、管理情報４００は、送信済み第１の鍵情報４２０を含んでもよい。また、画像コードの作成日時の情報４３０や画像コードの失効日時の情報（画像コードに対応する登録要求の受付期限の情報）４４０、画像コードを送信したユーザＩＤ４５０、画像コードに対する登録状況４６０等を画像コード管理番号４１０に関連付けて記憶させてもよい。なお画像コードの画像情報そのものを記憶してもよい。 When the image code information including the first key information is transmitted, the management information 400 may include the transmitted first key information 420. Also, information 430 on the date and time of creation of the image code, information on the date and time of expiration of the image code (information on the deadline for accepting the registration request corresponding to the image code) 440, the user ID 450 that transmitted the image code, the registration status 460 for the image code, etc. It may be stored in association with the image code management number 410. The image information of the image code itself may be stored.

２−３−３．認証システムの処理
図１２は、認証システムの処理の一例を示す図である。 2-3-3. Processing of Authentication System FIG. 12 is a diagram illustrating an example of processing of the authentication system.

第２の端末２０−２は、例えばスマートフォン等の携帯端末でもよい。第２の端末２０−２には、少なくともｔ９の前までに専用Ｗｅｂブラウザプリケーションがインストールされており、自機の認証用端末識別情報が生成されている。第２の端末２０−２は、前記専用Ｗｅｂブラウザを用いて、認証サーバ１０との通信を行う。また生成した認証用端末識別情報をＷｅｂブラウザのクッキーとして記憶する処理を行ってもよい。「クッキー」とは、ＨＴＴＰｃｏｏｋｉｅであり、Ｗｅｂブラウザに記憶される情報のことを示す。例えば、第２の端末２０−２が専用Ｗｅｂブラウザを用いてインターネットを介して認証サーバ１０にアクセスすると、入力されたユーザＩＤ、パスワード、及び、Ｗｅｂブラウザのクッキーとして設定された認証用端末識別情報を認証サーバ１０に送信する構成でもよい。 The second terminal 20-2 may be a mobile terminal such as a smartphone, for example. The dedicated Web browser application is installed in the second terminal 20-2 at least before t9, and the terminal identification information for authentication of the own terminal is generated. The second terminal 20-2 communicates with the authentication server 10 using the dedicated Web browser. Further, a process of storing the generated authentication terminal identification information as a cookie of the Web browser may be performed. “Cookie” is HTTP cookie and indicates information stored in a Web browser. For example, when the second terminal 20-2 accesses the authentication server 10 via the Internet using a dedicated Web browser, the input user ID, password, and authentication terminal identification information set as a cookie of the Web browser May be transmitted to the authentication server 10.

第２の端末２０−２は、認証サーバが管理する種々のサービス提供サーバ（例えば図８の３１、３２、３３、３４等）にアクセスする場合には専用Ｗｅｂブラウザを使用する。専用Ｗｅｂブラウザでは、通常のＷｅｂブラウザとしての機能は制限され、ファイルのダウンロード等が禁止されたり、ファイル閲覧後の情報の削除等が行われたり、閲覧中のファイルの更新、コピー等が禁止されている。 The second terminal 20-2 uses a dedicated Web browser when accessing various service providing servers (for example, 31, 32, 33, and 34 in FIG. 8) managed by the authentication server. In the dedicated Web browser, the function as a normal Web browser is restricted, and downloading of a file or the like, deletion of information after browsing a file, update or copying of a file being browsed, and the like are prohibited. ing.

第１の端末２０−１は、例えば所定のＩＰアドレスを有する端末（図８の端末２０−Ａ、２０−Ｂのように所定の組織内のＬＡＮ等に接続された端末）である。 The first terminal 20-1 is, for example, a terminal having a predetermined IP address (a terminal connected to a LAN or the like in a predetermined organization like the terminals 20-A and 20-B in FIG. 8).

例えばユーザＡが第１の端末２０−１から画像コードの送信要求指示入力を行うと、第１の端末２０−１は、ログインされたユーザＩＤとパスワードで認証サーバに対し、登録認証用の画像コード送信要求を送信する（ｔ１）。 For example, when the user A inputs an image code transmission request instruction input from the first terminal 20-1, the first terminal 20-1 sends an image for registration authentication to the authentication server using the logged-in user ID and password. A code transmission request is transmitted (t1).

認証サーバ１０は、画像コード送信要求を受信すると、送信元のアドレス情報が、組織
内のネットワークからのアクセスか否かを判定する送信元アドレス判定処理を行う（ｔ２）。認証サーバ１０は、端末２０−１の送信元のアドレス情報が、認証データベース１１に登録されている組織のネットワークのアドレス情報と一致するか否か（第２の条件）を判定してもよい。具体的には、端末２０−１から受信したパケット情報から、端末２０−１の送信元（アクセス元）のＩＰアドレスを検出し、送信元のＩＰアドレスが、認証データベースに登録されているＩＰアドレスと一致するか否かを判断する。例えば、端末２０−Ａの送信元のＩＰアドレスが「１２２．２００．２４３．２４０」の場合には、図１０（Ｂ）に示すように、「○○会社」のネットワークのＩＰアドレスとして認証データベース１１に登録されているので、組織（○○会社）のネットワークからのアクセスであると判定する。 Upon receiving the image code transmission request, the authentication server 10 performs a source address determination process of determining whether the source address information is an access from a network in the organization (t2). The authentication server 10 may determine whether the address information of the transmission source of the terminal 20-1 matches the address information of the network of the organization registered in the authentication database 11 (second condition). Specifically, the IP address of the transmission source (access source) of the terminal 20-1 is detected from the packet information received from the terminal 20-1, and the IP address of the transmission source is registered in the authentication database. It is determined whether or not they match. For example, when the source IP address of the terminal 20-A is “122.200.243.240”, as shown in FIG. 10B, the authentication database is set as the IP address of the network of “XX company”. 11, it is determined that the access is from the network of the organization (company XX).

また、第１の端末２０−１から受信したユーザＩＤとパスワードとが正しいか否か（第１の条件）を判定する（ｔ３）。つまり、端末２０−１から受信したユーザＩＤとパスワードとが、認証データベース１１に登録されているユーザＩＤと（当該ユーザＩＤに対応する）パスワードと一致するか否かを判定する。 Further, it is determined whether the user ID and the password received from the first terminal 20-1 are correct (first condition) (t3). That is, it is determined whether the user ID and the password received from the terminal 20-1 match the user ID registered in the authentication database 11 and the password (corresponding to the user ID).

第１の条件及び第２の条件を満たすと判定した場合には、認証サーバは、認証情報を生成する。認証情報は、認証用の第１の鍵（例えば画像コード送信要求毎に生成される共通鍵）情報を含んでもよい。また認証情報は、ユーザＩＤ等のユーザ特定情報を含んでもよい。また認証情報は、第２の鍵（例えば認証サーバが有している公開鍵暗号方式の秘密鍵）情報に基づく電子認証情報を含んでもよい。また認証情報は、第２の端末からアクセスを許可するドメイン名やURLのリスト、認証情報作成日時、失効日時等を含んでもよい。 When determining that the first condition and the second condition are satisfied, the authentication server generates authentication information. The authentication information may include first key information for authentication (for example, a common key generated for each image code transmission request). The authentication information may include user identification information such as a user ID. Further, the authentication information may include electronic authentication information based on second key (for example, a secret key of a public key cryptosystem included in the authentication server) information. The authentication information may include a list of domain names and URLs permitted to be accessed from the second terminal, the date and time of authentication information creation, the date and time of invalidation, and the like.

認証用の第１の鍵は、画像コード送信要求毎に異なるものを生成してもよい。 A different first key for authentication may be generated for each image code transmission request.

認証情報に基づき、画像コードを生成する（ｔ５）。画像コードとは、ＱＲコード（登録商標）やバーコードでもよいし、その他の2次元コードや３次元コードでもよい。 An image code is generated based on the authentication information (t5). The image code may be a QR code (registered trademark) or a bar code, or may be another two-dimensional code or three-dimensional code.

そして画像コード送信要求元の第１の端末２０−１に画像コード情報を送信するとともに（t７）、送信した画像コード情報に関連付けて登録要求の照合の際に必要な情報等を
管理情報４００として記憶部に保管する（ｔ６）。なお、画像コード情報は、画像コードの画像情報そのものでもよいし、画像コードを第１の端末に表示させるための情報（例えば認証情報と画像コード生成コマンド等）でもよい。また送信した第１の鍵を画像コード送信要求を行ったユーザＩＤと関連付けて保管し、同じユーザＩＤで登録要求が行われた場合に、認証用端末識別情報を登録するようにしてもよい。 Then, the image code information is transmitted to the first terminal 20-1 which has requested the image code transmission (t7), and information necessary for collating the registration request is associated with the transmitted image code information as management information 400. It is stored in the storage unit (t6). Note that the image code information may be the image information itself of the image code, or information (for example, authentication information and an image code generation command) for displaying the image code on the first terminal. Further, the transmitted first key may be stored in association with the user ID that has made the image code transmission request, and when the registration request is made with the same user ID, the authentication terminal identification information may be registered.

画像コード情報を受信した第１の端末２０−１は、表示部に画像コードを表示する（ｔ８）。 The first terminal 20-1 that has received the image code information displays the image code on the display unit (t8).

第１の端末２０−１は、所定時間経過した後に、自動的に画像コードの表示を終了してもよい。このようにすることで、第３者が画像コードを取得することを防止することができる。 The first terminal 20-1 may automatically terminate the display of the image code after a predetermined time has elapsed. By doing so, it is possible to prevent a third party from acquiring the image code.

ユーザＡが、第１の端末２０−１の表示部に表示された画像コードを、第２の端末２０−２の撮影部で撮影すると、第２の端末２０−２は、画像コードを取得する（ｔ９）。 When the user A captures the image code displayed on the display unit of the first terminal 20-1 with the imaging unit of the second terminal 20-2, the second terminal 20-2 acquires the image code. (T9).

そして第２の端末２０−２は、ログインされたユーザＩＤとパスワードで認証サーバに対し、取得した認証用の画像コードの情報（画像コードの画像情報そのものでもよいし画像コードに含まれる認証情報でもよい）と、自機の認証用端末識別情報（専用Ｗｅｂブラウザプリケーションが生成した情報）とともに、認証用端末識別情報の登録要求を送信す
る（ｔ１０）。第２の端末２０−２は、画像コードの画像情報を認証サーバに送信してもよいし、画像コードをデコードして認証情報を取得し、取得した認証情報、又はその一部の情報を認証サーバに送信してもよい。 Then, the second terminal 20-2 provides the authentication server with the logged-in user ID and password to the acquired authentication image code information (either the image information itself or the authentication information included in the image code). Good), and a registration request for authentication terminal identification information is transmitted together with the authentication terminal identification information of the own device (information generated by the dedicated Web browser application) (t10). The second terminal 20-2 may transmit the image information of the image code to the authentication server, or may obtain the authentication information by decoding the image code, and authenticate the obtained authentication information or a part of the obtained authentication information. It may be sent to the server.

登録要求を受信した認証サーバ１０は、第２の端末２０−２から受信したユーザＩＤとパスワードとが正しいか否か（第１の条件）を判断する（ｔ１１）。 Upon receiving the registration request, the authentication server 10 determines whether the user ID and the password received from the second terminal 20-2 are correct (first condition) (t11).

次に受信した認証情報又は画像コードの正当性の判断処理（第３の条件）を行う（ｔ１２）。例えば画像コードの正当性は、画像コード自体が、認証サーバが送信した画像コードと一致するか否か判断し、一致する場合には正当であると判断してもよい。また画像コードをデコードして認証情報を取得し、取得した認証情報が正当であるか判断してもよい。例えば認証情報が第１の鍵情報を含む場合には、当該第１の鍵情報が、管理情報として記憶されている第１の鍵情報のいずれかと一致するか否かを判断してもよい。また画像コード送信要求を行ったユーザと、当該画像コード送信要求に対応して送信した画像コードを取得して登録要求を行うユーザが一致していることを要求する場合には、図１０（Ａ）に示すように、画像コードをユーザＩＤに関連付けて記憶しておき、登録要求とともに受信した第１の鍵情報とユーザＩＤが、管理情報として登録されている第１の鍵と対応するユーザＩＤと一致する場合に正当であると判断してもよい。 Next, a process (third condition) for determining the validity of the received authentication information or image code is performed (t12). For example, the validity of an image code may be determined by determining whether or not the image code itself matches the image code transmitted by the authentication server. If the image code matches, the image code may be determined to be valid. Alternatively, authentication information may be obtained by decoding an image code, and it may be determined whether the obtained authentication information is valid. For example, when the authentication information includes the first key information, it may be determined whether the first key information matches any one of the first key information stored as the management information. When requesting that the user who has made the image code transmission request and the user who has acquired the image code transmitted in response to the image code transmission request and made the registration request match, FIG. ), The image code is stored in association with the user ID, and the first key information and the user ID received together with the registration request are stored in the user ID corresponding to the first key registered as the management information. If they match, it may be determined to be valid.

また例えば認証情報がユーザ特定情報を含む場合には、当該ユーザ特定情報が、登録要求を行ったユーザＩＤに対応するものであるか否かを判断してもよい。 Further, for example, when the authentication information includes the user identification information, it may be determined whether or not the user identification information corresponds to the user ID that made the registration request.

また例えば認証情報に第２の鍵（例えば認証サーバが有している公開鍵暗号方式の秘密鍵）情報に基づく電子認証情報を含む場合には、受信した認証用の画像コードの情報（画像コードの画像情報又は画像コードに含まれる認証情報）が第２の鍵に対応するものであるか否かを判断してもよい。このようにすることで、画像コードや認証情報が偽造されたものでなく、第１の端末に表示されたものを撮影することにより取得したものであることを保証することができる。 Further, for example, when the authentication information includes electronic authentication information based on second key (for example, a secret key of a public key cryptosystem included in the authentication server) information, the received authentication image code information (image code It may be determined whether or not the image information or the authentication information included in the image code) corresponds to the second key. By doing so, it is possible to guarantee that the image code and the authentication information are not forged, but are obtained by photographing the one displayed on the first terminal.

また例えば認証情報に、認証情報作成日時、失効日時等を含む場合には、これらに基づき登録要求の受信日時が許可されるか否か判断してもよい。なお認証情報自体には認証情報作成日時、失効日時等を含めないで、管理情報として記憶させてもよい。そして登録要求に対応する管理情報（例えば第１の鍵が一致する管理情報）として記憶されている認証情報作成日時、失効日時等（図１１の４２０、４３０参照）に基づき登録要求の受信日時が許可されるか否か判断してもよい。このようにすることで、画像コード送信時から所定期間内に行われた登録要求のみを許可したり、再登録を促したりすることができる。 Further, for example, when the authentication information includes the date and time of creation of the authentication information, the date and time of expiration, and the like, it may be determined whether or not the reception date and time of the registration request is permitted based on these. The authentication information itself may be stored as management information without including the authentication information creation date and time and the expiration date and time. Then, based on the authentication information creation date and time, the revocation date and the like (see 420 and 430 in FIG. 11) stored as the management information corresponding to the registration request (for example, the management information with the same first key), the reception date and time of the registration request are changed. It may be determined whether permission is granted. By doing so, it is possible to permit only a registration request made within a predetermined period from the time of transmitting the image code, or to urge re-registration.

そして登録要求が正当であると判断した場合には、登録要求にかかる認証用端末識別情報を認証データベースに登録する（ｔ１３）。 If it is determined that the registration request is valid, the authentication terminal identification information relating to the registration request is registered in the authentication database (t13).

なお前記画像コード送信要求とともに受信したユーザＩＤについて、他の端末や他のサーバに承認要求を行い（例えば管理者端末に承認要求を出す）、承認された場合に登録要求にかかる認証用端末識別情報を認証データベースに登録してもよい。 For the user ID received with the image code transmission request, an approval request is made to another terminal or another server (for example, an approval request is issued to the administrator terminal). The information may be registered in the authentication database.

なお１つの画像コードに対応して登録可能な認証用端末識別情報を1つに限定してもよい。この場合、第１の鍵について最先に登録要求を行った認証用端末識別情報を登録するようにしてもよい。例えば図１１に示す登録状況４６０等で、登録状況を管理し、同じ画像コードについて既に登録が行われている場合には登録しないようにしてもよい。このようにすると、１つの画像コードに対応して登録可能な認証用端末識別情報を1つに限定することができる。 The authentication terminal identification information that can be registered corresponding to one image code may be limited to one. In this case, the authentication terminal identification information for which the registration request was issued first for the first key may be registered. For example, the registration status may be managed by the registration status 460 shown in FIG. 11 or the like, and if the same image code has already been registered, the registration may not be performed. In this way, the number of authentication terminal identification information that can be registered corresponding to one image code can be limited to one.

また１つの画像コードに対応して複数の認証用端末識別情報を登録できるようにしてもよい。 Also, a plurality of authentication terminal identification information may be registered corresponding to one image code.

また第２の端末２０−２から認証サーバが管理する種々のサービス提供サーバ（例えば図８の３１、３２、３３、３４等）にアクセスする場合には、ログインされたユーザＩＤとパスワードで認証サーバに対し認証要求を送信する（ｔ１４）。このとき自機の認証用端末識別情報及び、画像コードの画像情報又は画像コードをデコードして取得した認証情報、又はその一部の情報を認証サーバに送信してもよい。 When accessing various service providing servers (for example, 31, 32, 33, and 34 in FIG. 8) managed by the authentication server from the second terminal 20-2, the authentication server uses the logged-in user ID and password. The authentication request is transmitted to (t14). At this time, the authentication terminal identification information of the own device, the image information of the image code, the authentication information obtained by decoding the image code, or a part of the information may be transmitted to the authentication server.

認証要求を受信した認証サーバ１０は、第２の端末２０−２から受信したユーザＩＤとパスワードとが正しいか否か（第１の条件）を判断する（ｔ１５）。 Upon receiving the authentication request, the authentication server 10 determines whether the user ID and the password received from the second terminal 20-2 are correct (first condition) (t15).

次に認証要求とともに受信した第２の端末の認証用端末識別情報の正当性の判断処理（第４の条件）を行う（ｔ１６）。 Next, a process (fourth condition) for determining the validity of the terminal identification information for authentication of the second terminal received together with the authentication request is performed (t16).

次に受信した認証情報又は画像コードの正当性の判断処理（第３の条件）を行う（ｔ１７）。 Next, a process of determining the validity of the received authentication information or image code (third condition) is performed (t17).

第１の条件、第４の条件、及び第３の条件を満たしていれば正当なアクセスであると判断する。 If the first condition, the fourth condition, and the third condition are satisfied, it is determined that the access is valid.

２−３−４．認証サーバの処理の流れ
図１３は、第２の実施形態の認証サーバの画像コード送信処理の流れを示すフローチャートである。 2-3-4. FIG. 13 is a flowchart illustrating a flow of an image code transmission process of the authentication server according to the second embodiment.

認証サーバは、画像コード送信要求を受信すると以下の処理を行う（ステップＳ２１０のＹ）。組織のネットワークからのアクセスであるか否か判断する。組織のネットワークからのアクセスであるか否かは、例えば画像コード送信要求元のＩＰアドレス等により判断してもよい。組織のネットワークからのアクセスであると判断した場合には（ステップＳ２２０のＹ）、ユーザＩＤとパスワードが正当か否か判断する。ユーザＩＤとパスワードが正当であるかは、認証データベースを参照して、認証データベースに登録されているか否かに基づき判断してもよい。 Upon receiving the image code transmission request, the authentication server performs the following processing (Y in step S210). It is determined whether the access is from the organization's network. Whether or not the access is from the network of the organization may be determined based on, for example, the IP address of the image code transmission request source. When it is determined that the access is from the organization network (Y in step S220), it is determined whether the user ID and the password are valid. Whether the user ID and the password are valid may be determined based on whether or not the user ID and the password are registered in the authentication database with reference to the authentication database.

ユーザＩＤとパスワードが正当であると判断した場合（ステップＳ２３０のＹ）には、認証情報を生成し（ステップＳ２４０）、認証情報に基づき、画像コードを生成する（ステップＳ２５０）。 If it is determined that the user ID and the password are valid (Y in step S230), authentication information is generated (step S240), and an image code is generated based on the authentication information (step S250).

そして、認証サーバは、画像コード送信要求元の第１の端末に画像コード情報を送信し（ステップＳ２６０）、送信した画像コード情報に対応する管理情報を記憶部に保管する（ステップＳ２７０）。 Then, the authentication server transmits the image code information to the first terminal requesting the image code transmission (step S260), and stores the management information corresponding to the transmitted image code information in the storage unit (step S270).

図１４は、第２の実施形態の認証サーバの認証用端末識別情報の登録処理の流れを示すフローチャートである。 FIG. 14 is a flowchart illustrating a flow of a process of registering authentication terminal identification information of the authentication server according to the second embodiment.

認証サーバは、認証用端末識別情報の登録要求を受信すると以下の処理を行う（ステップＳ３１０のＹ）。ユーザＩＤとパスワードが正当か否か判断する。ユーザＩＤとパスワードが正当であるかは、認証データベースを参照して、認証データベースに登録されているか否かに基づき判断してもよい。 Upon receiving the authentication terminal identification information registration request, the authentication server performs the following processing (Y in step S310). It is determined whether the user ID and the password are valid. Whether the user ID and the password are valid may be determined based on whether or not the user ID and the password are registered in the authentication database with reference to the authentication database.

ユーザＩＤとパスワードが正当であると判断した場合には（ステップＳ３２０のＹ）、認証用の画像コードの情報が正当であるか否か判断する。認証用の画像コードの情報の正当性は、認証用の画像コードの情報が、認証サーバが送信した認証用の画像コードの情報と一致するか否か判断し、一致する場合には正当であると判断してもよい。 When it is determined that the user ID and the password are valid (Y in step S320), it is determined whether the information of the image code for authentication is valid. The validity of the information on the authentication image code is determined by determining whether the information on the authentication image code matches the information on the authentication image code transmitted by the authentication server. May be determined.

認証用の画像コードの情報が正当であると判断した場合には（ステップＳ３３０のＹ）、認証用端末識別情報を認証データベースに登録する（ステップＳ３４０）。 When it is determined that the information of the authentication image code is valid (Y in step S330), the authentication terminal identification information is registered in the authentication database (step S340).

図１５は、第２の実施形態の認証サーバの認証処理の流れを示すフローチャートである。 FIG. 15 is a flowchart illustrating the flow of the authentication process of the authentication server according to the second embodiment.

認証サーバは、所与の処理要求を受信すると以下の処理を行う（ステップＳ４１０のＹ）。ユーザＩＤとパスワードが正当か否か判断する。ユーザＩＤとパスワードが正当であるかは、認証データベースを参照して、認証データベースに登録されているか否かに基づき判断してもよい。 Upon receiving a given processing request, the authentication server performs the following processing (Y in step S410). It is determined whether the user ID and the password are valid. Whether the user ID and the password are valid may be determined based on whether or not the user ID and the password are registered in the authentication database with reference to the authentication database.

ユーザＩＤとパスワードが正当であると判断した場合には（ステップＳ４２０のＹ）、組織のネットワークからのアクセスであるか否か判断する。組織のネットワークからのアクセスであるか否かは、所与の処理要求元のＩＰアドレス等により判断してもよい。組織のネットワークからのアクセスでないと判断した場合には（ステップＳ４３０のＮ）、認証用端末識別情報を受信したか否か判断し、受信した場合には（ステップＳ４４０のＹ）、受信した認証用端末識別情報が、前記認証データベースに登録されている認証用端末識別情報と一致するか否か判断する。一致すると判断した場合には（ステップＳ４５０のＹ）、認証用の画像コードの情報が正当であるか否か判断する。認証用の画像コードの情報が正当であると判断した場合には（ステップＳ４５５のＹ）、所与の処理要求を許可する（ステップＳ４６０）。 If it is determined that the user ID and the password are valid (Y in step S420), it is determined whether the access is from an organization network. Whether or not the access is from the organization's network may be determined based on the IP address of a given processing request source. If it is determined that the access is not from the network of the organization (N in step S430), it is determined whether the authentication terminal identification information is received. If it is received (Y in step S440), the received authentication terminal identification information is received. It is determined whether the terminal identification information matches the authentication terminal identification information registered in the authentication database. If it is determined that they match (Y in step S450), it is determined whether the information of the authentication image code is valid. If it is determined that the information of the authentication image code is valid (Y in step S455), a given processing request is permitted (step S460).

２−３−５．第２の端末
第２の実施形態では、第２の端末２０−２にファイルのダウンロードが禁止されている専用Ｗｅｂブラウザ５０をインストールしてもよい。専用Ｗｅｂブラウザは、認証サーバが管理する種々のサービス提供サーバ（例えば図８の３１、３２、３３、３４等）にアクセスする際に使用するＷｅｂブラウザである。専用Ｗｅｂブラウザは、閲覧後のファイルの削除や、閲覧中のファイルの文書が象のコピーを禁止する処理を行ってもよい。 2-3-5. Second Terminal In the second embodiment, a dedicated Web browser 50 for which file download is prohibited may be installed in the second terminal 20-2. The dedicated Web browser is a Web browser used when accessing various service providing servers (for example, 31, 32, 33, and 34 in FIG. 8) managed by the authentication server. The dedicated Web browser may perform a process of deleting a file after browsing, or prohibiting copying of an elephant in a document of a file being viewed.

また専用Ｗｅｂブラウザは、インストールされた端末の認証用端末識別情報を生成し、端末内に保管する処理を行ってもよい。またユーザから認証用端末識別情報の登録要求の指示入力を受けた場合に登録要求を生成し、当該端末の認証用端末識別情報として認証サーバに送信する処理を行ってもよい。 Further, the dedicated Web browser may perform a process of generating terminal identification information for authentication of the installed terminal and storing it in the terminal. Further, when an instruction input of a registration request for authentication terminal identification information is received from a user, a process of generating a registration request and transmitting the registration request to the authentication server as authentication terminal identification information of the terminal may be performed.

また認証サーバが管理する種々のサービス提供サーバ（例えば図８の３１、３２、３３、３４等）にアクセスする際に、認証サーバに対して認証用端末識別情報とともに認証要求を送信して、アクセス許可を得た場合にアクセス処理を行うようにしてもよい。 Also, when accessing various service providing servers (for example, 31, 32, 33, 34, etc. in FIG. 8) managed by the authentication server, an authentication request is transmitted to the authentication server together with authentication terminal identification information, and access is performed. Access processing may be performed when permission is obtained.

２−３−６．その他
上記実施の形態では、認証サーバ１０が画像コードを生成する場合について説明したが、これに限られない。認証サーバ１０は、認証情報と画像コード生成コマンド等の画像コードを第１の端末に表示させるための画像コード情報として送信する構成でもよい。そして、画像コード情報を受信した第１の端末が、認証情報に基づいて画像コードを生成してもよい。 2-3-6. Others In the above embodiment, the case where the authentication server 10 generates an image code has been described, but the present invention is not limited to this. The authentication server 10 may be configured to transmit the authentication information and the image code such as the image code generation command as the image code information to be displayed on the first terminal. Then, the first terminal that has received the image code information may generate the image code based on the authentication information.

また上記実施の形態では、画像コードに含まれる認証情報の判定は認証サーバが行う場合を例にとり説明したが第２の端末２０−２が画像コードに含まれる認証情報の判定を行う構成でもよい。 Further, in the above embodiment, the case where the authentication information included in the image code is determined by the authentication server has been described as an example, but the second terminal 20-2 may determine the authentication information included in the image code. .

例えば、前記第２の端末２０−２は、取得した画像コードをデコードして認証情報を取得し、認証情報がユーザ情報を含む場合には、現在ログイン中のユーザＩＤに対応するものであるか否か判断し、対応することを条件に、認証用端末識別情報の登録要求を行うようにしてもよい。 For example, the second terminal 20-2 decodes the obtained image code to obtain the authentication information. If the authentication information includes the user information, does the second terminal 20-2 correspond to the currently logged-in user ID? A determination may be made as to whether or not the authentication terminal identification information is to be registered, on the condition that it is handled.

また前記第２の端末２０−２は、取得した画像コードをデコードして認証情報を取得し、認証情報が第２の鍵（公開鍵暗号方式の秘密鍵）に基づく電子認証情報を含む場合、第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、認証用端末識別情報の登録要求を行うようにしてもよい。 Further, the second terminal 20-2 decodes the obtained image code to obtain authentication information, and when the authentication information includes electronic authentication information based on a second key (a secret key of a public key cryptosystem), It may be determined whether or not the key corresponds to the second key, and a registration request for the terminal identification information for authentication may be made on condition that the key corresponds to the second key.

また、上記実施形態では、ユーザＩＤ・パスワード判定処理の例として、認証サーバが、予め認証データベースに格納されているパスワードを用いて判定する処理を説明したが、認証データベースにパスワードを格納しないで、他のシステムにユーザＩＤ・パスワード判定処理を委任するようにしてもよい。 Further, in the above-described embodiment, as an example of the user ID / password determination process, the authentication server determines the process using the password stored in the authentication database in advance. However, without storing the password in the authentication database, The user ID / password determination process may be delegated to another system.

１０認証サーバ、１１認証データベース、１００処理部、１１１通信制御部、
１１２判断部、１１２Ａ第１の判断部、１１２Ｂ第２の判断部、
１１２Ｃ第３の判断部、１１３グループ判定部、１１４認証判定部、１１６画像コード情報送信処理部、１１８登録処理部、１７０記憶部、１８０情報記憶媒体、２０端末、２０−１第１の端末、２０−２第２の端末、２００処理部、２１０Ｗｅｂブラウザ、２１０専用Ｗｅｂブラウザ、２１１通信制御部、２２０入力部、２５０撮影部、２７０記憶部、２８０情報記憶媒体、
２９０表示部、５０ダウンロードが禁止されたＷｅｂブラウザ 10 authentication server, 11 authentication database, 100 processing unit, 111 communication control unit,
112 determination unit, 112A first determination unit, 112B second determination unit,
112C third determination unit, 113 group determination unit, 114 authentication determination unit, 116 image code information transmission processing unit, 118 registration processing unit, 170 storage unit, 180 information storage medium, 20 terminal, 20-1 first terminal, 20-2 second terminal, 200 processing unit, 210 Web browser, 210 dedicated Web browser, 211 communication control unit, 220 input unit, 250 shooting unit, 270 storage unit, 280 information storage medium,
290 Display part, 50 Web browser prohibited from downloading

Claims

第１の端末と、第２の端末と、ネットワークを介して接続される認証サーバであって、
前記第１の端末から画像コード送信要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記第１の端末の正当性に関する端末正当性条件を判断し、前記ユーザＩＤ・パスワード条件及び前記端末正当性条件を満たしている場合に認証情報を生成し、当該認証情報を画像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する画像コード情報送信処理手段と、
前記第２の端末から認証用端末識別情報の登録要求を受信すると、前記登録要求とともに受信したユーザＩＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記登録要求とともに受信した認証用の画像コードの情報の正当性に関する画像コード条件を判断し、前記ユーザＩＤ・パスワード条件及び前記画像コード条件を満たしている場合に、登録要件を満たしていると判断し、前記第２の端末から受信した認証用端末識別情報を認証データベースに登録する処理を行う登録処理手段と、
前記第２の端末から所与の処理要求を受信すると、前記所与の処理要求とともに受信したユーザIＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記処理
要求とともに受信した認証用端末識別情報の正当性に関する認証用端末識別情報条件、及び前記処理要求とともに受信した認証用の画像コードの情報の正当性に関する画像コード条件を判断し、前記ユーザＩＤ・パスワード条件、前記認証用端末識別情報条件、及び前記画像コード条件を満たしている場合に、処理要件を満たしていると判断し、前記所与の処理要求を許可する認証処理手段と、を含む認証サーバ。 An authentication server connected to a first terminal, a second terminal, and a network,
Upon receiving an image code transmission request from the first terminal, a user ID / password condition relating to the validity of the user ID and password received together with the image code transmission request, and a terminal validity condition relating to the validity of the first terminal If the user ID / password condition and the terminal validity condition are satisfied, authentication information is generated, and image code information for displaying the authentication information as an image code is transmitted to the image code transmission request source. Image code information transmission processing means for transmitting to one terminal;
Upon receiving a registration request for terminal identification information for authentication from the second terminal, a user ID and a password condition relating to the validity of the user ID and password received with the registration request, and an image code for authentication received with the registration request Determining the image code condition relating to the validity of the information, determining that the registration requirement is satisfied if the user ID / password condition and the image code condition are satisfied, and determining the authentication received from the second terminal. Registration processing means for performing a process of registering the terminal identification information for use in the authentication database,
When a given processing request is received from the second terminal, the user ID and the password condition relating to the validity of the user ID and the password received with the given processing request, and the authentication terminal identification information received with the processing request The authentication terminal identification information condition relating to the validity of the information, and the image code condition relating to the validity of the authentication image code information received together with the processing request are determined, and the user ID / password condition and the authentication terminal identification information condition are determined. And an authentication processing unit that determines that the processing requirement is satisfied when the image code condition is satisfied, and permits the given processing request.

請求項１において、
前記画像コード情報送信処理手段は、
前記第１の端末の送信元のアドレス情報が予め記憶部に記憶されたアドレス情報と一致するか否かを判断し、前記アドレス情報が一致した場合に前記端末正当性条件を満たすと判断することを特徴とする認証サーバ。 In claim 1,
The image code information transmission processing means,
Determining whether the address information of the transmission source of the first terminal matches the address information stored in the storage unit in advance, and determining that the terminal validity condition is satisfied if the address information matches; An authentication server characterized by the above-mentioned.

請求項１又は２において、
前記画像コード情報送信処理手段は、
前記第１の端末から送信されたワンタイムパスワードが予め記憶部に記憶されたワンタイムパスワードと一致するか否かを判断し、前記ワンタイムパスワードが一致した場合に前記端末正当性条件を満たすと判断することを特徴とする認証サーバ。 In claim 1 or 2,
The image code information transmission processing means,
It is determined whether the one-time password transmitted from the first terminal matches the one-time password stored in the storage unit in advance, and when the one-time password matches, the terminal validity condition is satisfied. An authentication server characterized by determining.

請求項１〜３のいずれかにおいて、
前記画像コード情報送信処理手段は、
前記第１の端末から送信された証明情報が予め記憶部に記憶された証明情報と一致するか否かを判断し、前記証明情報が一致した場合に前記端末正当性条件を満たすと判断することを特徴とする認証サーバ。 In any one of claims 1 to 3,
The image code information transmission processing means,
Determining whether the proof information transmitted from the first terminal matches the proof information stored in the storage unit in advance, and determining that the terminal validity condition is satisfied when the proof information matches. An authentication server characterized by the above-mentioned.

請求項１〜４のいずれかにおいて、
前記画像コード情報送信処理手段は、
前記第１の端末から送信されたＳＳＬクライアント証明書が正当であるか否かを判断し、前記ＳＳＬクライアント証明書が正当と判断した場合に前記端末正当性条件を満たすと判断することを特徴とする認証サーバ。 In any one of claims 1 to 4,
The image code information transmission processing means,
Determining whether the SSL client certificate transmitted from the first terminal is valid; and determining that the terminal validity condition is satisfied when the SSL client certificate is determined to be valid. Authentication server to perform.

請求項１〜５のいずれかにおいて、
前記画像コード情報送信処理手段は、
前記画像コード送信要求に対応して第１の鍵情報を含む認証情報を生成し、認証情報に基づき前記画像コード情報を生成するとともに、前記第１の鍵情報を送信済み第１の鍵情報として記憶部に保管し、
前記登録処理手段は、
前記登録要求とともに受信した認証用の画像コードの情報に含まれる前記第１の鍵情報が前記送信済み第１の鍵情報と一致するか否か判断し、一致するものであることを条件に、前記画像コード条件を満たしていると判断し、
前記認証処理手段は、
前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれる前記第１の鍵情報が前記送信済み第１の鍵情報と一致するか否か判断し、一致するものであることを条件に、前記画像コード条件を満たしていると判断することを特徴とする認証サーバ。 In any one of claims 1 to 5,
The image code information transmission processing means,
Generating authentication information including first key information in response to the image code transmission request, generating the image code information based on the authentication information, and using the first key information as transmitted first key information. Store in storage,
The registration processing means,
It is determined whether or not the first key information included in the information of the authentication image code received with the registration request matches the transmitted first key information. Judge that the image code conditions are satisfied,
The authentication processing means,
It is determined whether or not the first key information included in the information of the authentication image code received with the given processing request matches the transmitted first key information. An authentication server, which determines that the condition satisfies the image code condition.

請求項１〜６のいずれかにおいて、
前記画像コード情報送信処理手段は、
前記画像コード送信要求とともに受信したユーザＩＤに対応したユーザ特定情報を含む認証情報を生成し、
前記登録処理手段は、
前記登録要求とともに受信した認証用の画像コードの情報に含まれるユーザ特定情報が、受信したユーザＩＤに対応するものであるか否か判断し、対応するものであることを条件に、前記画像コード条件を満たしていると判断し、
前記認証処理手段は、
前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれるユーザ特定情報が、受信したユーザＩＤに対応するものであるか否か判断し、対応するものであることを条件に、前記画像コード条件を満たしていると判断することを特徴とする認証サーバ。 In any one of claims 1 to 6,
The image code information transmission processing means,
Generating authentication information including user identification information corresponding to the user ID received with the image code transmission request;
The registration processing means,
It is determined whether or not the user identification information included in the information of the authentication image code received with the registration request corresponds to the received user ID, and on the condition that the user identification information corresponds to the received user ID. Judging that the conditions are met,
The authentication processing means,
It is determined whether or not the user identification information included in the information of the authentication image code received together with the given processing request corresponds to the received user ID. An authentication server that determines that the image code condition is satisfied.

請求項１〜７のいずれかにおいて、
前記画像コード情報送信処理手段は、
前記認証サーバに対応付けられた第２の鍵に基づく電子認証情報を含む認証情報を生成し、
前記登録処理手段は、
前記登録要求とともに受信した認証用の画像コードの情報に含まれる第２の鍵に基づく電子認証情報が、前記認証サーバに対応付けられた第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、前記画像コード条件を満たしていると判断し、
前記認証処理手段は、
前記所与の処理要求とともに受信した認証用の画像コードの情報に含まれる第２の鍵に基づく電子認証情報が、前記認証サーバに対応付けられた第２の鍵に対応するものであるか否か判断し、対応するものであることを条件に、前記画像コード条件を満たしていると判断することを特徴とする認証サーバ。 In any one of claims 1 to 7,
The image code information transmission processing means,
Generating authentication information including electronic authentication information based on a second key associated with the authentication server;
The registration processing means,
It is determined whether the electronic authentication information based on the second key included in the authentication image code information received with the registration request corresponds to the second key associated with the authentication server. It is determined that the image code condition is satisfied, provided that the image code condition is satisfied.
The authentication processing means,
Whether the electronic authentication information based on the second key included in the information of the authentication image code received together with the given processing request corresponds to the second key associated with the authentication server An authentication server that determines that the image code condition is satisfied, provided that the image code condition is satisfied.

第１の端末と、第２の端末と、認証サーバとを利用した認証システムであって、
前記第１の端末は、
受け付けたユーザＩＤとパスワードとともに前記認証サーバに画像コード送信要求を送信する画像コード送信要求手段と、
前記画像コード送信要求に対応して前記認証サーバが送信した画像コード情報を受信して、当該画像コード情報に基づき画像コードを表示部に表示する画像コード表示処理手段と、を含み、
前記第２の端末は、
前記画像コードを撮影する撮影手段と、
撮影された前記画像コード又は当該画像コードを解読して取得した認証情報の少なくとも一部を含む認証用の画像コードの情報と、自機の認証用端末識別情報と、受け付けたユーザＩＤとパスワードとともに、前記認証用端末識別情報の登録要求を前記認証サーバに送信する登録要求手段と、を含み、
前記認証サーバは、
前記第１の端末から前記画像コード送信要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記第１の端末の正当性に関する端末正当性条件を判断し、前記ユーザＩＤ・パスワード条件及び前記端末正当性条件を満たしている場合に認証情報を生成し、当該認証情報を画像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する画像コード情報送信処理手段と、
前記第２の端末から前記登録要求を受信すると、前記登録要求とともに受信したユーザＩＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記登録要求とともに受信した認証用の画像コードの情報の正当性に関する画像コード条件を判断し、前記ユーザＩＤ・パスワード条件及び前記画像コード条件を満たしている場合に、登録要件を満たしていると判断し、前記第２の端末から受信した認証用端末識別情報を認証データベースに登録する登録処理手段と、
前記第２の端末から所与の処理要求を受信すると、前記所与の処理要求とともに受信したユーザIＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記処理
要求とともに受信した認証用端末識別情報の正当性に関する認証用端末識別情報条件、及び前記処理要求とともに受信した認証用の画像コードの情報の正当性に関する画像コード条件を判断し、前記ユーザＩＤ・パスワード条件、前記認証用端末識別情報条件、及び前記画像コード条件を満たしている場合に、処理要件を満たしていると判断し、前記所与の処理要求を許可する認証処理手段とを含む認証システム。 An authentication system using a first terminal, a second terminal, and an authentication server,
The first terminal comprises:
Image code transmission requesting means for transmitting an image code transmission request to the authentication server together with the accepted user ID and password;
Image code display processing means for receiving image code information transmitted by the authentication server in response to the image code transmission request, and displaying an image code on a display unit based on the image code information,
The second terminal,
Photographing means for photographing the image code;
The information of the image code for authentication including at least a part of the captured image code or the authentication information obtained by decoding the image code, the terminal identification information for authentication of the own device, and the received user ID and password together with Registration request means for transmitting a registration request for the authentication terminal identification information to the authentication server,
The authentication server,
Upon receiving the image code transmission request from the first terminal, the user ID and password conditions relating to the validity of the user ID and the password received together with the image code transmission request, and the terminal validity relating to the validity of the first terminal Determining a condition, generating authentication information when the user ID / password condition and the terminal validity condition are satisfied, and transmitting image code information for displaying the authentication information as an image code to the image code transmission request source; Image code information transmission processing means for transmitting to the first terminal;
When the registration request is received from the second terminal, the user ID and the password condition regarding the validity of the user ID and the password received together with the registration request, and the validity of the information of the authentication image code received together with the registration request The image code condition is determined, and when the user ID / password condition and the image code condition are satisfied, it is determined that the registration requirement is satisfied, and the authentication terminal identification information received from the second terminal is determined. Registration processing means for registering in the authentication database;
When a given processing request is received from the second terminal, the user ID and the password condition relating to the validity of the user ID and the password received with the given processing request, and the authentication terminal identification information received with the processing request The authentication terminal identification information condition relating to the validity of the information, and the image code condition relating to the validity of the authentication image code information received together with the processing request are determined, and the user ID / password condition, the authentication terminal identification information condition And an authentication processing unit that determines that the processing requirement is satisfied when the image code condition is satisfied, and permits the given processing request.

第１の端末と、第２の端末と、ネットワークを介して接続される認証サーバのためのプログラムであって、
前記第１の端末から画像コード送信要求を受信すると、前記画像コード送信要求とともに受信したユーザＩＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記第１の端末の正当性に関する端末正当性条件を判断し、前記ユーザＩＤ・パスワード条件及び前記端末正当性条件を満たしている場合に認証情報を生成し、当該認証情報を画
像コードとして表示させるための画像コード情報を画像コード送信要求元の第１の端末に送信する画像コード情報送信処理手段と、
前記第２の端末から登録要求を受信すると、前記登録要求とともに受信したユーザＩＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記登録要求とともに受信した認証用の画像コードの情報の正当性に関する画像コード条件を判断し、前記ユーザＩＤ・パスワード条件及び前記画像コード条件を満たしている場合に、登録要件を満たしていると判断し、前記第２の端末から受信した認証用端末識別情報を認証データベースに登録する登録処理手段と、
前記第２の端末から所与の処理要求を受信すると、前記所与の処理要求とともに受信したユーザIＤとパスワードの正当性に関するユーザＩＤ・パスワード条件、及び前記処理
要求とともに受信した認証用端末識別情報の正当性に関する認証用端末識別情報条件、及び前記処理要求とともに受信した認証用の画像コードの情報の正当性に関する画像コード条件を判断し、前記ユーザＩＤ・パスワード条件、前記認証用端末識別情報条件、及び前記画像コード条件を満たしている場合に、処理要件を満たしていると判断し、前記所与の処理要求を許可する認証処理手段と、してコンピュータを機能させることを特徴とするプログラム。 A program for an authentication server connected to a first terminal, a second terminal, and a network,
Upon receiving an image code transmission request from the first terminal, a user ID / password condition relating to the validity of the user ID and password received together with the image code transmission request, and a terminal validity condition relating to the validity of the first terminal If the user ID / password condition and the terminal validity condition are satisfied, authentication information is generated, and image code information for displaying the authentication information as an image code is transmitted to the image code transmission request source. Image code information transmission processing means for transmitting to one terminal;
When a registration request is received from the second terminal, a user ID and a password condition relating to the validity of the user ID and the password received together with the registration request and the validity of the information of the authentication image code received together with the registration request are determined. The image code condition is determined, and when the user ID / password condition and the image code condition are satisfied, it is determined that the registration requirement is satisfied, and the authentication terminal identification information received from the second terminal is authenticated. Registration processing means for registering in the database;
When a given processing request is received from the second terminal, the user ID and the password condition relating to the validity of the user ID and the password received with the given processing request, and the authentication terminal identification information received with the processing request The authentication terminal identification information condition relating to the validity of the information, and the image code condition relating to the validity of the authentication image code information received together with the processing request are determined, and the user ID / password condition and the authentication terminal identification information condition are determined. And a program that, when the image code condition is satisfied, determines that the processing requirement is satisfied, and causes the computer to function as authentication processing means for permitting the given processing request.